Informationen nach Art. 13 und 14 DSGVO
Datenschutzerklärung
Diese Erklärung informiert über die Verarbeitung personenbezogener Daten auf der Website und in der fixkus-Plattform.
1. Verantwortlicher
Cristian-Adalbert Stark, Einzelunternehmer
Große Klingergasse 10, 94032 Passau, Deutschland
Telefon: +49 151 23425684
E-Mail: cristian.stark@me.com
Diese Verantwortlichkeit gilt für den öffentlichen Webauftritt, Registrierungsanfragen, die Vertrags- und Benutzerverwaltung sowie den eigenen sicheren Plattformbetrieb.
2. Verarbeitung im Auftrag unserer Geschäftskunden
Gibt ein Leistungserbringer als fixkus-Kunde Daten seiner Patienten, Versicherten, Rechnungsempfänger oder Beschäftigten ein, ist grundsätzlich dieser Leistungserbringer für Zweck und Rechtmäßigkeit der Verarbeitung verantwortlich. fixkus verarbeitet diese Daten nach dessen dokumentierter Weisung als Auftragsverarbeiter. Einzelheiten, Löschfristen, Unterauftragsverarbeiter und technische Maßnahmen werden in einer Vereinbarung zur Auftragsverarbeitung festgelegt.
Betroffene Personen wenden sich mit fachlichen Auskunfts-, Berichtigungs- oder Löschungsanfragen zu einem Abrechnungsfall zunächst an den jeweiligen Leistungserbringer. fixkus unterstützt diesen bei der Erfüllung seiner Pflichten.
3. Websiteaufruf, Protokolle und Sicherheit
Beim Aufruf der Website und bei API-Anfragen verarbeitet der Server insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, übertragene Datenmenge, HTTP-Status, Referrer sowie Browser-, Betriebssystem- und App-Angaben, soweit diese technisch übermittelt werden. Bei angemeldeter Nutzung können außerdem Benutzer- und Mandantenkennung, aufgerufene Funktion, ausgeführte Aktion, Ergebnis und technische Fehlerkennung in Sicherheits- und Anwendungsprotokollen stehen. Die Verarbeitung dient der sicheren Bereitstellung, Fehleranalyse, Nachvollziehbarkeit sicherheitsrelevanter Vorgänge und Abwehr von Missbrauch.
Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO, bei für die Bereitstellung des Kundenkontos erforderlichen Vorgängen auch Art. 6 Abs. 1 Buchst. b DSGVO. Berechtigte Interessen sind ein funktionsfähiger, sicherer Dienst, die Aufklärung technischer Fehler und die Abwehr unberechtigter Zugriffe. Sicherheits- und Fehlerprotokolle werden gelöscht oder anonymisiert, sobald sie für den Betriebs- oder Sicherheitszweck und die Aufklärung konkreter Vorfälle nicht mehr benötigt werden; gesetzliche Nachweispflichten bleiben unberührt.
5. Neukundenregistrierung und Kontakt
Bei der Registrierung verarbeiten wir Unternehmensname und -art, Kontaktperson, geschäftliche Kontaktdaten, Anschrift, gewünschtes Produktprofil, optionale Mitarbeitererweiterung, Bestätigungsstatus und technische Sicherheitsnachweise. Für die Produktprofile RECHNUNG_302 und PFLEGE verarbeiten wir außerdem den hochgeladenen Zuteilungsnachweis der ARGE IK, um die Leistungserbringer-IK und die Berechtigung zur beantragten Einrichtung zu prüfen. Der Nachweis wird verschlüsselt gespeichert und ist ausschließlich für berechtigte Super-Administratoren und Administratoren im Prüfablauf abrufbar. Ein Code prüft die Erreichbarkeit der E-Mail-Adresse. Die Anfrage ist noch kein Vertrag.
Zwecke sind Prüfung und Bearbeitung der Anfrage, Kontaktaufnahme, Missbrauchsschutz und gegebenenfalls Vertragsanbahnung. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO, wenn die anfragende Person selbst künftige Vertragspartei ist, sowie Art. 6 Abs. 1 Buchst. f DSGVO für die Kommunikation mit geschäftlichen Ansprechpartnern und den Schutz der Registrierungsfunktion. Unser berechtigtes Interesse liegt in der Prüfung ernsthafter Geschäftsanfragen und sicherer, missbrauchsarmer Kommunikation.
Nicht bestätigte Anfragen werden nach 14 Tagen anonymisiert. Bestätigte Anfragen, die nicht in eine Kundenbeziehung übernommen wurden, werden 90 Tage nach Bestätigung anonymisiert. Gesetzliche Nachweise zu einem später geschlossenen Vertrag bleiben davon unberührt.
6. Benutzerkonten, MFA und Vertragsverwaltung
Für Konten verarbeiten wir Identitäts- und Kontaktdaten, Rollen, Organisations- und Mandantenzuordnung, Passwort-Prüfwerte, MFA-Faktoren, Wiederherstellungscodes, Sitzungs- und Gerätemerkungsnachweise, Einladungen sowie sicherheitsrelevante Ereignisse. Zwecke sind Vertragserfüllung, Rechteverwaltung, Kontosicherheit, Support und Nachweis administrativer Vorgänge.
Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO für eigene Vertragspartner, Art. 6 Abs. 1 Buchst. c DSGVO, soweit gesetzliche Pflichten bestehen, und Art. 6 Abs. 1 Buchst. f DSGVO für die Verwaltung von Zugängen geschäftlicher Mitarbeiter, Systemsicherheit und Missbrauchsabwehr. Vertrags- und abrechnungsrelevante Daten werden für die Dauer der Geschäftsbeziehung und danach entsprechend gesetzlicher Nachweis- und Aufbewahrungsfristen gespeichert. Reine Sicherheitsdaten werden nach Ablauf ihres Zwecks gelöscht oder gesperrt.
7. Installierbare App, Geräte und Offline-Nutzung
Bei Nutzung der installierbaren fixkus-App verarbeiten wir zusätzlich die Gerätebezeichnung, Plattform, einen aus dem öffentlichen Geräteschlüssel abgeleiteten Geräte-Fingerabdruck, den öffentlichen Schlüssel, die Benutzer- und Mandantenzuordnung sowie Lizenz-, Aktivierungs- und Sitzungsereignisse. Der private Geräteschlüssel und lokale Zugangstoken werden im geschützten Speicher des Geräts abgelegt. Diese Angaben dienen der Anmeldung, Rechte- und Lizenzprüfung, Geräteverwaltung und Absicherung des Zugangs. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO für eigene Vertragspartner und Art. 6 Abs. 1 Buchst. f DSGVO für Zugänge von Mitarbeitern sowie Sicherheits- und Missbrauchsschutz.
Die App kann Entwürfe, zuletzt geladene Daten und importierte Dokumente zur Offline-Bearbeitung verschlüsselt im Anwendungsbereich des Geräts speichern. Bei bestehender Verbindung werden Änderungen und Dokumente dem ausgewählten Mandanten zugeordnet an den Server übertragen; dabei werden Datensatzversionen, Prüfsummen, Synchronisierungsbefehle und gegebenenfalls Konflikte verarbeitet. Die lokale Offline-Kopie bleibt auch bei vorübergehendem Verbindungsabbruch, Lizenzablauf und bloßer Abmeldung erhalten. Eine Abmeldung entfernt die Zugangstoken, löscht aber nicht automatisch die verschlüsselten Entwürfe und Dokumente. Bei Verlust eines Geräts kann dessen Zugang gesperrt werden.
Aus der App geöffnete oder heruntergeladene Rechnungs-PDFs können als unverschlüsselte Dateien im temporären Bereich des Betriebssystems oder in einer vom Benutzer gewählten Ablage liegen und von anderen PDF-Anwendungen geöffnet werden. Auch ein zum Import ausgewähltes Original auf dem Gerät wird durch die verschlüsselte App-Kopie nicht automatisch gelöscht. Für solche Dateien gelten zusätzlich die Zugriffs- und Löschmöglichkeiten des Geräts und der verwendeten Anwendungen. Rechnungsfestschreibung und elektronischer Versand erfolgen nur nach einer ausdrücklichen Online-Aktion des berechtigten Benutzers, nicht allein durch die Wiederherstellung der Internetverbindung.
8. Mandanten-, Rechnungs-, Dokument- und Gesundheitsdaten
Optionale DAVASO-Portal-Anbindung
Wenn ein berechtigter Kunde die DAVASO-API einrichtet, speichern wir den API-Key getrennt nach Mandant, Institutionskennzeichen und Test- beziehungsweise Produktivsystem verschlüsselt. Nach einer ausdrücklichen Abrufaktion werden Rechnungsstände und gegebenenfalls zugeordnete Dokumente und Avise von der IQVIA Health System Services GmbH, Sommerfelder Straße 120, 04316 Leipzig, abgerufen. Rechnungsstände werden verschlüsselt im Mandantenbestand gespeichert; API-Keys und Zugriffstoken erscheinen nicht in der Kundenansicht oder in Anwendungsprotokollen. Ein Abruf ändert keine fixkus-Rechnung, bucht keine Zahlung und löst keinen DTA-Versand aus. Abgerufene PDFs können vom Benutzer als lokale Datei gespeichert werden.
Je nach freigeschaltetem Modul können insbesondere Kunden- und Empfängerdaten, Steuer- und Bankdaten, Rechnungen, Zahlungen, offene Posten, Fahrten, Versicherungsdaten, Verordnungen, Genehmigungen, Leistungsnachweise und Originalbelege verarbeitet werden. Patientendaten stammen aus Eingaben und Dokumenten des jeweiligen Leistungserbringers. Hochgeladene Belege können durch lokal betriebene OCR- und Dokumentdienste ausgelesen werden; erkannte Werte bleiben vor Verwendung prüfbar.
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten. Der jeweilige Kunde muss dafür eine Rechtsgrundlage nach Art. 6 DSGVO und eine Ausnahme nach Art. 9 Abs. 2 DSGVO sicherstellen. fixkus verwendet diese Daten nicht für Werbung, Profilbildung oder eigene fachfremde Zwecke.
Eine Übermittlung an Krankenkassen, Abrechnungszentren oder technische Annahmestellen erfolgt nur nach einer freigegebenen Benutzeraktion und über den jeweils eingerichteten Weg. Entwürfe lösen keinen automatischen Versand aus. Aufbewahrung und Löschung richten sich nach Weisung des Kunden, dem Vertrag und zwingenden gesetzlichen Aufbewahrungspflichten.
9. Empfänger und Dienstleister
Empfänger erhalten Daten nur, soweit dies für Betrieb, Vertrag, Support, rechtliche Pflichten oder eine vom Kunden veranlasste Abrechnung erforderlich ist. Dazu können gehören:
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, als Hosting- und Rechenzentrumsdienstleister;
- vom Kunden ausgewählte Krankenkassen, Kostenträger, Abrechnungszentren und technische Datenannahmestellen;
- E-Mail- und Kommunikationsanbieter der jeweiligen Absender und Empfänger;
- Behörden, Gerichte oder Berater, wenn eine gesetzliche Pflicht oder die Geltendmachung von Rechten dies erfordert.
Lokale OCR- und PDF-Dienste laufen auf der fixkus-Serverumgebung. Zur Abrechnung eigener fixkus-Leistungen verarbeiten wir Angebot, Vertrags- und Lizenzdaten, Rechnungen, Zahlungsart und Zahlungseingänge. Eine Kartenzahlung über Stripe ist derzeit nicht freigeschaltet; vor einer Aktivierung werden die Angaben zu Zahlungsdienstleister und Datenübermittlungen aktualisiert. Personenbezogene Daten werden nicht verkauft.
10. Drittlandübermittlungen
Für den regulären Plattform- und Dokumentbetrieb ist keine gezielte Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums vorgesehen. Bei freiwillig aktivierter Werbemessung können Google und Microsoft Daten auch außerhalb des EWR verarbeiten. Informationen zu den jeweils geltenden Übermittlungsgrundlagen und Garantien enthalten die oben verlinkten Datenschutzinformationen der Anbieter. Nutzt ein vom Kunden gewählter Empfänger oder Kommunikationsanbieter Infrastruktur außerhalb des EWR, ist der konkrete Übermittlungsweg gesondert zu prüfen. Neue Drittlanddienste werden erst nach Prüfung und Aktualisierung dieser Erklärung eingesetzt.
11. Aufbewahrung und Löschung
Die konkreten Fristen hängen von Datenart und Zweck ab: Nicht bestätigte Registrierungsanfragen werden nach 14 Tagen, bestätigte Anfragen ohne Kundenübernahme nach 90 Tagen anonymisiert. Sitzungs- und Gerätemerkungen enden nach Ablauf, Abmeldung oder Widerruf; die optionale MFA-Gerätemerkung gilt höchstens sieben Tage. Berechtigungs- und Lizenzereignisse werden benötigt, solange eine Lizenz, ein Gerätezugang, eine Abrechnung oder ein konkreter Streit- beziehungsweise Sicherheitsfall nachvollzogen werden muss.
Vertrags- und eigene Rechnungsdaten bleiben während der Geschäftsbeziehung und anschließend nur im Umfang gesetzlicher Aufbewahrungs- oder Nachweispflichten gespeichert. Für im Auftrag verarbeitete Patienten-, Fall-, Dokument-, DTA- und Rücklaufdaten gelten die Weisungen und vereinbarten Löschregeln des jeweiligen Kunden, soweit keine zwingende Pflicht oder rechtlich erforderliche Sicherung entgegensteht. Sicherheits- und Fehlerprotokolle werden nach Wegfall des Betriebs- oder Aufklärungszwecks gelöscht oder anonymisiert. Sicherungskopien können Daten über die Löschung im Produktivbestand hinaus enthalten; sie werden nicht für die reguläre Bearbeitung genutzt und müssen nach dem geltenden Sicherungs- und Löschkonzept entfernt werden. Verschlüsselte Offline-Kopien auf Geräten werden nicht durch eine serverseitige Löschung oder bloße Abmeldung automatisch entfernt.
12. Pflicht zur Bereitstellung und automatisierte Entscheidungen
Als Pflichtfelder gekennzeichnete Angaben sind für Registrierung, sicheren Zugang oder die jeweilige Abrechnung erforderlich. Ohne sie kann die betreffende Funktion nicht erbracht werden. Andere Angaben sind freiwillig.
fixkus trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO. OCR, Vorschläge, Dubletten- und Formatprüfungen unterstützen die Bearbeitung; die fachliche Entscheidung bleibt bei berechtigten Personen.
13. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Bei Verarbeitungen nach Art. 6 Abs. 1 Buchst. f DSGVO kann aus Gründen der besonderen Situation Widerspruch eingelegt werden.
Anfragen können an cristian.stark@me.com gerichtet werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht.
14. Sicherheit und Aktualisierung
fixkus setzt rollen- und mandantenbezogene Zugriffe, Zwei-Faktor-Anmeldung, verschlüsselte Ablagen, Protokollierung, Datensicherungen und weitere dem Risiko angemessene Schutzmaßnahmen ein. Sicherheitsmaßnahmen werden entsprechend technischer und rechtlicher Entwicklung überprüft.
Diese Erklärung wird angepasst, wenn sich Funktionen, Empfänger oder Rechtslage wesentlich ändern.
Stand: 19. September 2026 · Version FIXKUS-DATENSCHUTZ-2026-09-19-V3