Datenschutz App

1. Allgemeines

1.1 Wir, die Apotheke im Pro-OG, Lindengasse 16, 4040 Linz und die Apotheke Rosenauer KG, Freistädter Str. 41, 4040 Linz (gemeinsam „wir“), verarbeiten im Rahmen Ihrer Nutzung unserer App das Produkt, Ihre personenbezogenen Daten. Wir behandeln die uns anvertrauten Daten streng vertraulich und gehen damit verantwortungsvoll um. Die Verarbeitung Ihrer personenbezogenen Daten erfolgt ausschließlich im Rahmen der Bestimmungen der Datenschutzgrundverordnung DSGVO sowie des österreichischen Datenschutzgesetzes, in der jeweils geltenden Fassung.

1.2 Nachfolgend wollen wir Sie über uns sowie Art, Umfang und Zweck der Datenerhebung und -verwendung informieren, um Ihnen ein Verständnis der Verwendung Ihrer personenbezogenen Daten zu ermöglichen.

1.3 Funktion der App: Die App basiert auf einer Kundenbindungs-Lösung der hello again GmbH und dient in erster Linie als Kundenbindungs- und Treue-App (Treuepunkte, Prämien, Angebote, Kommunikation). Über die App können Sie keine Online-Bestellungen im Sinne eines Webshops tätigen. Die App dient ausschließlich dazu, Arzneimittel und sonstige Produkte vorab zu reservieren bzw. vorzubestellen und an unserem Kundenbindungs-/Treueprogramm teilzunehmen. Ein Versand oder eine Online-Bezahlung von rezeptpflichtigen oder apothekenpflichtigen Arzneimitteln erfolgt nicht. Die pharmazeutische Beratung, die rechtliche Abgabe der Arzneimittel sowie die Bezahlung finden ausschließlich in der jeweiligen Apotheke statt.

2. Verantwortlicher und gemeinsame Verantwortlichkeit

2.1 Verantwortliche im Sinne der DSGVO

Verantwortliche für die Datenverarbeitung im Zusammenhang mit der App sind:

• Apotheke im PRO-OG
  Lindengasse 16
  4040 Linz
  FN 351641 w
  service@apotheke-im-pro.at
• Apotheke Rosenauer KG
  Freistädter Str. 41
  4040 Linz
  FN 157772 v
  service@apotheke-rosenauer.at

(jeweils eine „Apotheke“, gemeinsam „Apotheken“).

2.2 Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Die Apotheken betreiben die App gemeinsam und legen die Zwecke und Mittel der Datenverarbeitung im Zusammenhang mit der App gemeinsam fest. Sie sind daher gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO.

Die Apotheken haben in einer Vereinbarung festgelegt, wie sie die datenschutzrechtlichen Pflichten im Zusammenhang mit der App untereinander aufteilen, insbesondere im Hinblick auf:

• die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO,
• die Wahrnehmung und Beantwortung von Betroffenenrechten (Art. 15–22 DSGVO),
• die Umsetzung technischer und organisatorischer Maßnahmen,
• die Meldung von Datenschutzverletzungen sowie
• die Zusammenarbeit mit der Datenschutzbehörde.

Der Zugriff auf Gesundheits- und Rezeptdaten ist in beiden Apotheken strikt rollen- und apothekenbezogen beschränkt (Need-to-know-Prinzip). Mitarbeiter:innen dürfen nur auf jene Daten zugreifen, die sie für die Erfüllung ihrer konkreten Aufgaben benötigen.

Apotheke Pro fungiert als zentrale Anlaufstelle für datenschutzrechtliche Anfragen (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf von Einwilligungen) im Zusammenhang mit der App und koordiniert die Antwort.

Ungeachtet dieser internen Aufteilung können Sie Ihre Rechte nach der DSGVO selbstverständlich gegenüber jeder der beiden Apotheken geltend machen. Die wesentlichen Inhalte der Vereinbarung nach Art. 26 DSGVO stellen wir Ihnen auf Anfrage zur Verfügung.

2.3 Datenschutzkontakt / Anlaufstelle

Für alle Fragen zur Verarbeitung Ihrer personenbezogenen Daten und zur Ausübung Ihrer Rechte können Sie sich insbesondere an folgende Anlaufstelle wenden:

Apotheke im PRO-OG
Lindengasse 16
4040 Linz
FN 351641 w
E-Mail: service@apotheke-im-pro.at
Telefon: [Telefonnummer]

3. Verarbeitung personenbezogener Daten

3.1 Allgemein

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Darunter fallen beispielsweise Ihr Name, Ihre Anschrift, Ihre Telefonnummer oder Ihr Geburtsdatum, aber auch Ihre IP-Adresse oder Geolokationsdaten, die einen Rückschluss auf Sie zulassen. Um Ihnen die Nutzung des Produkts zu ermöglichen, ist es für uns erforderlich, einige Kategorien an personenbezogenen Daten zu verarbeiten. Wir verarbeiten in diesem Rahmen jene personenbezogenen Daten, die Sie uns als Nutzer des Produkts durch Angaben, etwa im Rahmen der Registrierung, oder durch die Nutzung des Produkts zur Verfügung stellen („Daten“).

3.2 Übermittlung an den App Store

Bei Herunterladen des Produkts aus dem App Store werden die erforderlichen Informationen an den App Store übertragen, also insbesondere Nutzername, E-Mail-Adresse und Kundennummer Ihres Accounts, Zeitpunkt des Downloads, Zahlungsinformationen sowie individuelle Gerätekennziffer. Auf diese Datenerhebung haben wir keinen Einfluss und sind nicht dafür verantwortlich. Wir verarbeiten die Daten nur, soweit es für das Herunterladen der mobilen App auf Ihr mobiles Endgerät notwendig ist.

3.3 Daten

Folgende Daten werden bei der Nutzung des Produkts verarbeitet:

3.3.1 Stammdaten: Persönliche Daten: Vor- und Zuname, Geschlecht, Geburtsdatum, Anrede, Kundennummer, Kontaktdaten: E-Mail-Adresse, Telefonnummer, Anschrift, Registrierungsdatum, Profilbild, Bevorzugte Sprache, Benutzerstatus zB VIP-Mitglied etc.

3.3.2 Treueprogrammdaten: Aktuelle Treuepunkte, Erhaltene Prämien, Ort und Zeitpunkt der Einlösung der Prämie, Erhaltene Treuepunkte, Zeitpunkt, Punkteanzahl, Aktion, für die Punkte vergeben wurden.

3.3.3 Nutzungsdaten: Letzte Aktivität, Zeitpunkt und Code eines eingelösten Coupons, Zeitpunkt und Ort eines eingelösten RKSV-Bons, Abgegebene Bewertungen: Bewertung, Zeitpunkt, Kommentar, Filiale, Teilgenommene Umfragen: Zeitpunkt und Antworten, Gesendete Formulare: Daten, Zeitpunkt, Einladungen: Einladungsdatum, Einladungscode, Zeitpunkt der Einlösung eines Einladungscodes, einladender Benutzer, eingeladener Benutzer, Facebook Posting: Post-ID, Nachricht sowie Datum eines Facebook-Postings aus der App, Instagram Posting: Post-ID, Zeitpunkt des Postings, Benutzername, Inhalt, Genutzte Login-Methoden.

3.3.4 Nachrichtenverlauf: Titel, Text, Datum, Typ E-Mail oder Notifikation sowie auslösende Aktion der Benachrichtigung zB neues Angebot oder Geburtstagsglückwünsche, Information ob und wann die Nachricht geöffnet wurde.

3.3.5 Drittanbieter-Logindaten: Facebook ID, Google ID, Apple ID.

3.3.6 Einkaufsdaten: Gekaufte Artikel, Preis, Menge, Name, Ort und Zeitpunkt des Einkaufs, Bild des Kaufbelegs, Gesamtbetrag des Einkaufs.

3.3.7 Gesundheitsdaten / Rezept- und Vorbestelldaten: Sofern Sie die Vorbestellfunktion der App nutzen, verarbeiten wir zusätzlich Gesundheitsdaten im Sinne des Art. 9 DSGVO, insbesondere: hochgeladene Rezeptbilder, E-Rezept-Codes/Token, Angaben zu verordneten bzw. rezeptpflichtigen oder apothekenpflichtigen Arzneimitteln, ggf. Dosierungshinweise, optional enthaltene Freitextangaben (z.B. Hinweise zu Beschwerden laut Rezept/Verordnung), Zuordnung der Vorbestellung zu einer Apotheke (Pro oder Rosenauer), Status der Vorbestellung (eingelangt, in Bearbeitung, abholbereit, erledigt).

3.3.8 Mobilgerätedaten: Aktivität, IP-Adresse, Firebase-Identität, Geräte-Identität.

3.4 Drittrezepte (Vorbestellungen für andere Personen)

Wenn Sie ein Rezept, einen E-Rezept-Code oder andere Gesundheitsdaten für eine andere Person übermitteln (z.B. Angehörige), verarbeiten wir auch die Gesundheitsdaten dieser Person zur Bearbeitung der Vorbestellung und Vorbereitung der Abgabe in der Apotheke.

In diesem Fall sind Sie verpflichtet sicherzustellen, dass Sie zur Übermittlung dieser Daten berechtigt sind (z.B. als gesetzliche Vertretung oder aufgrund der Einwilligung der betroffenen Person) und dass die betroffene Person über die Datenverarbeitung und diese Datenschutzerklärung informiert wurde oder informiert wird.

3.5 Zwecke und Rechtsgrundlagen

Zwecke. Zweck der Datenverarbeitung ist die Zurverfügungstellung unseres Kundenbindungsprogramms sowie die damit einhergehenden Marketingmaßnahmen.

In diesem Zuge nutzen wir Ihre Daten zur Authentifizierung, Verwaltung des Punktekontos, Vergabe und Einlösung von Punkten, Versand von Prämien, Durchführung von Umfragen, Teilen von Inhalten auf Social Media zB Facebook, Instagram, zum Versand bzw. der Ausgabe von physischen Prämien, der Erstellung von Statistiken zum Kaufverhalten der Kunden, Ihrer Benachrichtigung E-Mail, Push-Benachrichtigung, Post, SMS.

Rechtsgrundlage der Datenverarbeitung. Je nach Verarbeitungszweck stützen wir die Verarbeitung Ihrer personenbezogenen Daten auf folgende Rechtsgrundlagen:

3.5.1 die Vertragserfüllung gemäß Art 6 Abs 1 lit b DSGVO

3.5.2 die Wahrung unserer berechtigten Interessen gemäß Art 6 Abs 1 lit f DSGVO zur Durchführung von Marketingmaßnahmen gem. Erwägungsgrund 47 zur DSGVO.

3.5.3 gesetzliche Aufbewahrungspflichten etwa zu buchhalterischen Zwecken gem. Art 6 Abs 1 lit c DSGVO

3.5.4 gegebenenfalls Ihre Einwilligung gem Art 6 Abs 1 lit a DSGVO, die wir erforderlichenfalls gesondert unter Hinweis auf die beabsichtigte Verarbeitung einholen.

3.5.5 Verarbeitung von Gesundheitsdaten / Rezept- und Vorbestelldaten (Art. 9 DSGVO)

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Hierzu zählen insbesondere in der App verarbeitete Informationen über Ihre Rezeptdaten, E-Rezept-Codes, verordnete Arzneimittel und vergleichbare Angaben.

Die Verarbeitung dieser Daten erfolgt, im Rahmen der beschriebenen App-Funktionen, insbesondere auf folgenden Rechtsgrundlagen:

• Art. 9 Abs. 2 lit. a DSGVO iVm Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung), soweit Sie in der App ausdrücklich einwilligen, dass wir Ihre Gesundheitsdaten (insbesondere Rezept- und E-Rezeptdaten) elektronisch über die App entgegennehmen, speichern und verarbeiten, um Ihre Vorbestellung vorzubereiten. Diese Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Art 9 Abs 2 lit a DSGVO (ausdrückliche Einwilligung) iVm Art 6 Abs 1 lit a DSGVO (ausdrückliche Einwilligung) zur Entgegennahme und Bearbeitung Ihrer Vorbestellungen, zur Reservierung der gewünschten Arzneimittel und zur Vorbereitung der Abgabe in der Apotheke.
• Art 9 Abs 2 lit h DSGVO
  • iVm Art. 6 Abs. 1 lit. b DSGVO (Vertrag / vorvertragliche Maßnahmen) in Verbindung mit den apothekenrechtlichen Verschwiegenheitspflichten zur pharmazeutischen Versorgung im Gesundheitsbereich, insbesondere zur Prüfung der ärztlichen Verschreibung, zur Vorbereitung der Abgabe, zur Interaktionsprüfung und zur pharmazeutischen Beratung im Rahmen der Vor-Ort-Abgabe in der Apotheke.
  • iVm Art. 6 Abs. 1 lit. c DSGVO, soweit wir gesetzlich verpflichtet sind, bestimmte Vorgänge zu dokumentieren und aufzubewahren (z.B. aus Apotheken-, Arzneimittel- oder Steuerrecht).

Gesundheitsdaten werden nicht zu Zwecken der personalisierten Werbung oder des Profilings verwendet, es sei denn, Sie erteilen hierfür eine gesonderte ausdrückliche Einwilligung.

4. Weitergabe

4.1 Weitergabe

Daten werden von uns an Dritte nur weitergegeben bzw. übermittelt, wenn dies zum Zwecke der Vertragsabwicklung erforderlich ist, auf Anfrage von inländischen Behörden, aufgrund von Gerichtsentscheidungen oder wenn Sie, als Nutzer des Produkts, zuvor eingewilligt haben. Eine Übermittlung zum Zwecke der Vertragserfüllung betrifft beispielsweise unsere Übermittlung der Daten an einen Server im Inland oder an Unternehmen, die Ihre Daten in unserem Auftrag verarbeiten (Auftragsverarbeiter).

4.2 Übermittlungen

4.2.1 Empfänger. Daten werden von uns an folgende Empfänger übermittelt.

Eine Übermittlung Ihrer Daten an Dritte findet grundsätzlich nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet, die Datenweitergabe ist zur Durchführung eines zwischen uns abgeschlossenen Vertragsverhältnisses erforderlich oder Sie haben zuvor ausdrücklich in die Weitergabe Ihrer Daten eingewilligt. Externe Auftragsverarbeiter oder sonstige Kooperationspartner erhalten Ihre Daten nur, soweit dies zur Vertragsabwicklung erforderlich ist, wir ein berechtigtes Interesse daran haben, das wir stets im Anlassfall gesondert bekannt geben oder sofern dies aufgrund von Sondernormen erforderlich ist, mit Ihrer Zustimmung.

Ihre personenbezogenen Daten werden von uns nicht an Dritte veräußert oder anderweitig vermarktet.

Sofern unsere Vertragspartner oder Auftragsverarbeiter ihren Sitz in einem Drittland, also einem Staat außerhalb des Europäischen Wirtschaftsraums (EWR) haben, informieren wir Sie über die Folgen dieses Umstands in der Beschreibung des Angebots.

4.2.2 Auftragsverarbeiter. Wir übermitteln personenbezogene Daten an unseren Auftragsverarbeiter, die hello again GmbH, FN 467382b, Dr. Herbert-Sperl-Ring 3/6, A-4060 Leonding, soweit dies für die Bereitstellung, technische Betreuung, Wartung und den Betrieb unserer App erforderlich ist.

4.2.3 Drittländer. Soweit es sich um Empfänger in Drittländern handelt, werden außerdem die folgenden Informationen erteilt.

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nur, wenn

• ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) vorliegt oder
• geeignete Garantien (insb. Standarddatenschutzklauseln, Art. 46 DSGVO) bestehen oder
• eine Ausnahme nach Art. 49 DSGVO greift.

Für bestimmte Dienste kann eine Datenübermittlung in die USA stattfinden:

EU-US Data Privacy Framework (DPF)
Soweit der jeweilige US-Dienstleister nach dem EU-US Data Privacy Framework zertifiziert ist, stützen wir die Übermittlung auf den Angemessenheitsbeschluss nach Art. 45 DSGVO. In diesen Fällen geht die EU derzeit von einem angemessenen Schutzniveau aus; zusätzliche Garantien sind nicht erforderlich.

Nicht zertifizierte US-Dienste / Standardvertragsklauseln
Bei US-Empfängern ohne DPF-Zertifizierung verwenden wir, sofern möglich, Standarddatenschutzklauseln (Art. 46 DSGVO) und zusätzliche technische/organisatorische Maßnahmen (z.B. Verschlüsselung, Pseudonymisierung), um ein im Wesentlichen gleichwertiges Schutzniveau zu gewährleisten.

Nach der Rechtsprechung des EuGH in C-311/18 „Schrems II“ ist dabei insbesondere zu prüfen, ob Zugriffe von US-Behörden (z.B. nach FISA 702) und auf Grundlage von Executive Order 12.333 das Schutzniveau beeinträchtigen. Liegen keine geeigneten zusätzlichen Maßnahmen vor, stellt eine Übermittlung in die USA eine Übermittlung ohne geeignete Garantien iSv Art. 44 f DSGVO dar.

Ausnahme/Einsicht nach Art. 49 Abs. 1 lit. a DSGVO (Einwilligung)
Soweit weder ein Angemessenheitsbeschluss noch geeignete Garantien zur Verfügung stehen und die Übermittlung nicht zur Vertragserfüllung erforderlich ist, erfolgt ein Datentransfer in die USA nur, wenn Sie ausdrücklich einwilligen (Art. 49 Abs. 1 lit. a DSGVO).

Auch wenn wir davon ausgehen, dass unsere Dienstleister entsprechend den mit uns vertraglich getroffenen Vereinbarungen die erforderlichen Schritte setzen, das versprochene Schutzniveau zu gewährleisten, ist ein Zugriff durch US-Behörden auf in den USA verarbeitete Daten trotzdem denkbar. Wir ersuchen Sie daher vor Verwendung derartiger Dienste um Ihre Zustimmung zur Verarbeitung der Daten in die USA. Wir werden bei jedem Dienst bzw. jeder Applikation gesondert darauf hinweisen, dass die Möglichkeit einer Datenübertragung in die USA besteht.

5. Speicherdauer und Löschung

5.1 Speicherdauer

Wir speichern Daten solange Sie als Nutzer unseres Produkts registriert sind. Darüber hinaus werden Daten nur in dem Umfang gespeichert, als dies gesetzlich notwendig zB wegen Gewährleistungs-, Verjährungs- und Aufbewahrungsfristen oder sonst geboten ist.

5.2 Löschung

Eine Löschung von Daten erfolgt, wenn Sie

• a) die Einwilligung zur Speicherung widerrufen,
• b) die Daten zur Erfüllung des Nutzungsvertrages bezüglich des Produktes nicht mehr erforderlich sind, oder
• c) die Speicherung aus sonstigen gesetzlichen Gründen unzulässig ist bzw. wird.

6. Ihre Rechte

Gemäß der Datenschutz-Grundverordnung und dem Datenschutzgesetz stehen Ihnen als betroffener Person unserer Datenverarbeitung folgende Rechte und Rechtsbehelfe zu:

6.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie haben als betroffene Person der oben beschriebenen und sonstigen Datenverarbeitung das Recht, Auskunft darüber zu verlangen, ob und wenn ja, welche personenbezogenen Daten über Sie verarbeitet werden. Zu Ihrem eigenen Schutz, damit niemand Unberechtigter Auskunft über Ihre Daten erhält, werden wir vor Auskunftserteilung Ihre Identität in geeigneter Form nachprüfen.

6.2 Recht auf Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO)

Sie haben das Recht, unverzüglich die Berichtigung Sie betreffender unrichtiger personenbezogener Daten bzw. unter Berücksichtigung der Zwecke der Datenverarbeitung die Vervollständigung unvollständiger personenbezogener Daten sowie die Löschung Ihrer Daten zu verlangen, sofern die Kriterien des Art. 17 DSGVO erfüllt sind.

6.3 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben unter den gesetzlichen Voraussetzungen das Recht auf Einschränkung der Verarbeitung sämtlicher erhobener personenbezogener Daten. Diese Daten werden ab dem Einschränkungsantrag nur mehr mit Ihrer individuellen Einwilligung bzw. zur Geltendmachung und Durchsetzung von Rechtsansprüchen verarbeitet.

6.4 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie können die ungehinderte und uneingeschränkte Übermittlung von personenbezogenen Daten, die Sie uns bereitgestellt haben, an Sie oder einen Dritten verlangen.

6.5 Widerspruchsrecht (Art. 21 DSGVO)

Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die zur Wahrung unserer berechtigten Interessen oder der eines Dritten erforderlich sind, einlegen. Ihre Daten werden nach Widerspruch nicht mehr verarbeitet, es sei denn, es liegen zwingende schutzwürdige Gründe für die Verarbeitung vor, die Ihre Interessen, Rechte und Freiheiten überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen die Datenverarbeitung zum Zweck der Direktwerbung können Sie jederzeit Widerspruch mit Wirkung für die Zukunft erheben.

6.6 Widerruf einer Einwilligung

Falls Sie separat eine Einwilligung zur Verarbeitung Ihrer Daten erteilt haben, können Sie diese jederzeit widerrufen. Ein solcher Widerruf beeinflusst die Zulässigkeit der Verarbeitung Ihrer personenbezogenen Daten, nachdem Sie ihn uns gegenüber ausgesprochen haben.

Ergreifen Sie eine Maßnahme zur Durchsetzung Ihrer oben aufgeführten Rechte aus der DSGVO, so haben wir unverzüglich, spätestens aber innerhalb eines Monats nach Eingang Ihres Antrags, zur beantragten Maßnahme Stellung zu nehmen bzw. dem Antrag zu entsprechen. Wir werden auf alle angemessenen Anfragen im gesetzlichen Rahmen unentgeltlich und möglichst umgehend reagieren.

Für Anträge betreffend Verletzung des Rechtes auf Auskunft, Verletzung der Rechte auf Geheimhaltung, auf Richtigstellung oder auf Löschung können Sie sich an eine Aufsichtsbehörde iSd Art 77 DSGVO wenden. In Österreich: Österreichische Datenschutzbehörde.

Zur Ausübung Ihrer Rechte können Sie sich an jede der beiden Apotheken wenden, vorzugsweise an die unter Punkt 2.3 genannte zentrale Anlaufstelle (Apotheke Pro).