Datenschutzerklärung

Stand: 2026-08-11

Diese Datenschutzerklärung informiert dich bzw. Sie darüber, welche personenbezogenen Daten wir im Zusammenhang mit der Nephion Me App („Nephion App“), dem Nephion Professionals Web-Arbeitsplatz („Nephion Professionals“), der zugehörigen Cloudplattform (Hub unter hub.nephion.com) und dieser Website (nephion.com) verarbeiten, zu welchen Zwecken dies geschieht und welche Rechte betroffene Personen haben.

Geltungsbereich

Diese Erklärung gilt für die mobile Nephion App (iOS), Nephion Professionals (Web unter professionals.nephion.com), den Backenddienst Nephion Hub sowie die öffentlichen Webseiten unter nephion.com (Startseite, Datenschutz, AGB, Impressum, Support).

Bei der Nutzung von Nephion Professionals durch Gesundheitseinrichtungen können zusätzliche Verantwortlichkeiten bestehen: Die Einrichtung ist in der Regel Verantwortliche für die Verarbeitung von Patientendaten im Behandlungs- und Organisationskontext; Nephion handelt insoweit häufig als Auftragsverarbeiter nach Art. 28 DSGVO. Für Kontodaten von Professionals-Nutzenden und den technischen Betrieb bleibt Nephion Verantwortlicher bzw. Mitverantwortlicher, soweit nachfolgend beschrieben.

Die Nephion App richtet sich an private Nutzerinnen und Nutzer zur persönlichen Gesundheitsbegleitung (Wellness). Nephion Professionals richtet sich an Healthcare-Fachkräfte und berechtigte Mitarbeitende. Die Produkte sind keine Medizinprodukte und ersetzen keine ärztliche Diagnose oder Behandlung.

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die hier beschriebenen Verarbeitungen durch Nephion (soweit Nephion nicht als Auftragsverarbeiter tätig wird):

2. Kurzüberblick der Verarbeitungen

Im Folgenden beschreiben wir die wichtigsten Verarbeitungsvorgänge. Nicht jede Funktion ist in jeder Betaphase bereits verfügbar; verarbeitet werden nur die Daten, die der jeweils genutzten Funktion zugeordnet sind beziehungsweise die für deren Betrieb erforderlich sind.

3. Nutzerkonto und Authentifizierung (Nephion Me)

Zur Nutzung der Nephion App ist ein persönliches Konto erforderlich. Wir verarbeiten dabei insbesondere deine E-Mail-Adresse als Identifikator, einen von dir gewählten Passwort-Hash (wir speichern dein Klartext-Passwort nicht), den Status der E-Mail-Verifikation sowie technische Authentifizierungsdaten (z. B. Access- und Refresh-Tokens) für die Dauer deiner Sitzung.

Verifikations-E-Mails versenden wir über unsere konfigurierte SMTP-Infrastruktur (Absender z. B. no-reply@nephion.com). Der Versand dient der Kontosicherheit und der Einhaltung unserer Nutzungsbedingungen.

Ohne gültige Registrierung und Verifikation ist der volle Funktionsumfang der App nicht verfügbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung beziehungsweise vorvertragliche Maßnahmen).

4. Nephion Professionals

Nephion Professionals ist der webbasierte Arbeitsplatz für Healthcare-Fachkräfte und berechtigte Mitarbeitende. Die Anmeldung erfolgt in der Regel über einen Identity-Provider (OIDC). Wir verarbeiten dabei Benutzerkennung bzw. E-Mail, Anzeigename, Mandantenzugehörigkeit, Rollen sowie Sitzungs- und Protokolldaten, die für Autorisierung, Tenant-Isolation und sicheren Betrieb erforderlich sind.

Über Professionals können berechtigte Personen Patientendaten einsehen und Funktionen nutzen (z. B. Listen, Verläufe, Einladungen, Metrik-Profile, Termine, Connect, Videosprechstunde), soweit die Einrichtung dies freigeschaltet hat und die betroffenen Personen die erforderlichen Einwilligungen bzw. Rechtsgrundlagen gesetzt haben.

Rollenverteilung: Die Gesundheitseinrichtung ist in der Regel Verantwortliche für die Verarbeitung von Patientendaten zu Versorgungszwecken. Nephion stellt die Plattform bereit und verarbeitet diese Daten typischerweise als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Weisung der Einrichtung. Für die technischen Kontodaten der Professionals-Nutzenden und den Plattformbetrieb ist Nephion Verantwortlicher, soweit nicht anders vereinbart.

Für Videosprechstunden werden Sitzungs- und Terminmetadaten verarbeitet; Audio und Video werden in der angebotenen Version nicht aufgezeichnet und nicht dauerhaft gespeichert. Zur Medienübertragung können technische Dienstleister (z. B. LiveKit-Infrastruktur) eingesetzt werden, die Medien nur als verschlüsselte Relaisdaten weiterleiten, soweit die jeweilige Konfiguration dies vorsieht.

KI-gestützte klinische Zusammenfassungen in Professionals beschreiben freigegebene erfasste Daten zur Orientierung; sie stellen keine Diagnose, Hypothese oder Therapieentscheidung dar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO für Professionals-Konten und Betrieb; für Gesundheitsdaten Art. 9 Abs. 2 lit. a und/oder lit. h DSGVO in Verantwortung der Einrichtung; Nephion als Auftragsverarbeiter Art. 28 DSGVO.

5. Gesundheitsdaten (Apple HealthKit)

Die App kann, nur nach deiner ausdrücklichen Freigabe in iOS, Gesundheitsdaten aus Apple HealthKit lesen und synchronisieren. Welche Datentypen übertragen werden, bestimmst du im Berechtigungsdialog von Apple und in der App (Katalog und Feinberechtigungen).

Typische Kategorien umfassen Aktivitäts- und Vitaldaten (z. B. Schritte, Herzfrequenz, Schlaf, Energieverbrauch), abhängig von deinem Gerät und deiner Auswahl. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO.

Wir verarbeiten diese Daten ausschließlich, um dir in der App Verläufe, Einordnungen und wellnessorientierte Hinweise anzuzeigen, nicht jedoch zur medizinischen Diagnose oder Therapieentscheidung. Du kannst Berechtigungen jederzeit in den iOS-Einstellungen unter „Gesundheit“ widerrufen oder einschränken; bereits synchronisierte Daten können gesondert gelöscht werden (siehe Betroffenenrechte).

Sofern du dich mit einer Einrichtung verknüpfst, können freigegebene Daten im Consent-Umfang für das Behandlungsteam über Nephion Professionals sichtbar werden.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

6. Standortdaten

Sofern du Standortfreigaben erteilst, kann die App deinen ungefähren Aufenthaltsort (Stadt oder Region) ermitteln, um kontextbezogene Funktionen zu unterstützen (z. B. Wetter- oder Reisebezug).

Wir speichern keine dauerhaften Aufzeichnungen präziser GPS-Koordinaten. Der Standort wird nicht zu Profilbildungs- oder Werbezwecken genutzt.

Du kannst Standortberechtigungen in den iOS-Einstellungen jederzeit anpassen oder entziehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), soweit erforderlich zusätzlich Art. 9 DSGVO, falls standortbezogene Verarbeitung mit Gesundheitskontext verknüpft wird.

7. Push-Benachrichtigungen

Mit deiner Zustimmung in iOS speichern wir ein gerätespezifisches Push-Token und übermitteln Benachrichtigungen über den Apple Push Notification Service (APNs). Inhalte sind funktionsbezogen (z. B. Hinweis auf eine abgeschlossene Auswertung) und nicht werblich, sofern du dem nicht separat zustimmst.

Apple verarbeitet Zustelldaten als eigenständiger Anbieter. Details findest du in den Datenschutzhinweisen von Apple.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

8. Automatisierte Auswertungen und KI

Zur Einordnung synchronisierter Daten können serverseitige Auswertungen eingesetzt werden, gegebenenfalls unter Einsatz externer KI-Dienstleister (z. B. Google Gemini oder vergleichbare Anbieter in der EU/EWR). Dabei werden nur die für die jeweilige Funktion erforderlichen Daten übermittelt; eine Identifikation über die E-Mail-Adresse erfolgt bei KI-Anfragen nicht, soweit technisch vermeidbar.

In der Nephion App dienen Ergebnisse der Wellness-Darstellung (z. B. Track, Insights). In Nephion Professionals können KI-Zusammenfassungen freigegebene Patientendaten für Fachkräfte strukturiert beschreiben; sie sind keine Diagnose und keine Therapieempfehlung.

Du bzw. Sie haben keinen Anspruch auf eine bestimmte Qualität automatisierter Texte während Betaphasen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und beziehungsweise Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Gesundheitsdaten gemäß Art. 9 Abs. 2 lit. a DSGVO; bei Professionals ggf. Art. 9 Abs. 2 lit. h DSGVO in Verantwortung der Einrichtung.

9. Synchronisation, Protokolle und Sicherheit

Zwischen Clients (App, Professionals) und Hub werden Gesundheitsdaten und Metadaten über verschlüsselte Verbindungen (HTTPS/TLS) übertragen. Wir protokollieren technische Ereignisse (Sync-Status, Fehler, Zeitstempel, Geräte- bzw. Clientkennung), um den Dienst stabil zu betreiben und Support zu leisten.

Protokolle werden nicht unbegrenzt aufbewahrt und enthalten keine Klartext-Gesundheitsinhalte über das für den Betrieb Notwendige hinaus. Zugriff auf Produktionssysteme ist auf autorisierte Personen beschränkt. Mandanten in Professionals sind technisch voneinander getrennt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Fehleranalyse).

10. Besuch dieser Website und Kontaktformular

Beim Aufruf von nephion.com werden durch den Webserver automatisch technische Zugriffsdaten verarbeitet (IP-Adresse, Datum und Uhrzeit, abgerufene Seite, Browsertyp, Referrer). Diese Daten sind für den Betrieb und die Abwehr von Angriffen erforderlich.

Über das Kontaktformular auf der Support-Seite kannst du uns Name, E-Mail-Adresse und Nachricht senden. Die Verarbeitung erfolgt nur, wenn du der Datenschutzerklärung im Formular zustimmst. Die Angaben nutzen wir ausschließlich zur Bearbeitung deiner Anfrage.

Zum Schutz vor automatisierten Anfragen (Spam) nutzt das Kontaktformular Cloudflare Turnstile (Anbieter: Cloudflare, Inc., USA). Beim Laden und Ausfüllen des Widgets werden dabei personenbezogene und technische Daten an Cloudflare übermittelt, insbesondere IP-Adresse, Browser- und Geräteinformationen, Zeitstempel, Referrer sowie Interaktionsdaten zur Unterscheidung zwischen Mensch und Bot.

Cloudflare kann diese Daten zur Erkennung und Abwehr von Missbrauch, zur Sicherheit des Dienstes und zur statistischen Auswertung (Analytics) im Rahmen von Turnstile verarbeiten. Wir erhalten in unserem Cloudflare-Konto aggregierte Auswertungen zum Widget (z. B. Anzahl der Prüfungen, Erfolgs- und Fehlerquoten), nicht jedoch den Inhalt deiner Nachricht. Details und ggf. Opt-out-Möglichkeiten findest du in der Datenschutzerklärung von Cloudflare: https://www.cloudflare.com/privacypolicy/ sowie https://developers.cloudflare.com/turnstile/reference/privacy-policy/.

Diese Website setzt keine eigenen Tracking-Cookies oder Marketing-Analyse-Tools (z. B. Google Analytics) ein. Es werden keine Werbeprofile erstellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb) für Server-Logs; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für das Kontaktformular; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Spam- und Missbrauchsprävention) für Cloudflare Turnstile.

11. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, wenn dies für die genannten Zwecke erforderlich ist, eine Rechtsgrundlage besteht oder du bzw. Sie eingewilligt haben:

• Hosting und Infrastruktur: Der Nephion Hub und zugehörige Dienste laufen auf Servern in Deutschland bzw. der EU/EWR, soweit nicht anders ausgewiesen. Für den Betrieb setzen wir Auftragsverarbeiter mit vertraglichen Vereinbarungen nach Art. 28 DSGVO ein.
• Gesundheitseinrichtungen (Professionals): Berechtigte Fachkräfte einer verknüpften Einrichtung erhalten Zugriff auf freigegebene Patientendaten im Consent- und Rollenrahmen. Die Einrichtung ist in der Regel eigenständige Verantwortliche.
• Video- und Medieninfrastruktur: Für Videosprechstunden können technische Anbieter zur Echtzeit-Medienübertragung (z. B. LiveKit-kompatible Infrastruktur) eingesetzt werden; in der angebotenen Version ohne Aufzeichnung und ohne dauerhafte Speicherung von Audio/Video.
• Apple Push Notification Service (APNs): Zustellung von Push-Nachrichten an die Nephion App; Anbieter: Apple Inc. (gegebenenfalls Drittland USA, siehe Apple Privacy Policy).
• E-Mail-Versand (SMTP): Versand von System-, Verifikations- und Einladungs-E-Mails über unseren Mail-Provider.
• Cloudflare Turnstile: Spam-Schutz und Bot-Erkennung beim Kontaktformular; Anbieter: Cloudflare, Inc. (USA, Drittlandübermittlung). Cloudflare verarbeitet u. a. IP-Adresse, Browser- und Gerätedaten sowie Interaktionsdaten; dabei können auch statistische Auswertungen (Analytics) zum Widget erfolgen. Rechtsgrundlage unserer Einbindung: Art. 6 Abs. 1 lit. f DSGVO.
• KI- und Cloud-Dienstleister: Soweit für Auswertungsfunktionen in Me oder Professionals eingesetzt, nur mit vertraglichen Auftragsverarbeitungsvereinbarungen (Art. 28 DSGVO) und technischen Schutzmaßnahmen.

Sofern Empfänger in Drittländern (insbesondere USA) eingesetzt werden, erfolgt die Übermittlung nur auf Basis geeigneter Garantien (z. B. EU-Standardvertragsklauseln) oder vergleichbarer Rechtsinstrumente, soweit anwendbar.

12. Speicherdauer

Kontodaten der Nephion App speichern wir, solange dein Nutzerkonto besteht. Nach Löschung des Kontos werden personenbezogene Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Kontodaten und Zugangsrechte in Nephion Professionals speichern wir, solange das Konto aktiv ist bzw. die Einrichtung die Zuordnung benötigt; nach Deaktivierung werden Daten gelöscht oder anonymisiert, soweit keine gesetzlichen oder vertraglichen Aufbewahrungspflichten (auch der Einrichtung) entgegenstehen.

Gesundheitsdaten und Sync-Inhalte werden nicht länger aufbewahrt, als für die Funktionen erforderlich oder von dir bzw. der Einrichtung gewünscht; Details zur Löschung kannst du über die App-Funktionen, über die Einrichtung oder per E-Mail anfordern.

Technische Sitzungsmetadaten von Videosprechstunden werden nur begrenzt vorgehalten (Zielgröße in der Regel wenige Monate), sofern keine Sicherheits- oder Nachweisgründe eine längere Aufbewahrung erfordern. Audio/Video werden in der angebotenen Version nicht gespeichert.

Server-Logdaten der Website und technische Betriebslogs werden in der Regel nur für einen begrenzten Zeitraum (typischerweise wenige Wochen bis Monate) vorgehalten, sofern keine Sicherheitsvorfälle eine längere Aufbewahrung erfordern.

Kontaktformular-Anfragen speichern wir, bis die Anfrage bearbeitet ist und keine berechtigten Aufbewahrungsgründe mehr bestehen. Daten, die Cloudflare im Zusammenhang mit Turnstile verarbeitet, unterliegen den Speicherfristen von Cloudflare (siehe deren Datenschutzhinweise).

Push-Token werden gelöscht, wenn du Push deaktivierst, das Gerät abmeldest oder dein Konto löschst.

13. Pflicht zur Bereitstellung

Die Bereitstellung von Kontodaten (insbesondere E-Mail bzw. Benutzerkennung) ist für die Nutzung der jeweiligen Produkte vertraglich bzw. organisatorisch erforderlich. Ohne diese Daten kann kein Konto angelegt und der Dienst nicht erbracht werden.

Gesundheits-, Standort- und Push-Daten in der Nephion App sind optional. Verweigerst du die Berechtigung, stehen die jeweiligen Funktionen nicht oder nur eingeschränkt zur Verfügung; die Grundfunktionen des Kontos können dennoch nutzbar sein.

Für Professionals-Nutzende kann die Einrichtung weitere Angaben verlangen, die für die berufliche Nutzung erforderlich sind.

14. Rechte als betroffene Person

Betroffene Personen haben gegenüber uns folgende Rechte, soweit die gesetzlichen Voraussetzungen erfüllt sind. Betrifft die Verarbeitung Patientendaten über Professionals, richten Sie Auskunfts- und Löschbegehren ggf. auch an die behandelnde Einrichtung als Verantwortliche:

• Auskunft (Art. 15 DSGVO): Welche Daten wir über dich speichern und verarbeiten.
• Berichtigung (Art. 16 DSGVO): Unrichtige Daten korrigieren.
• Löschung (Art. 17 DSGVO): Löschung, sofern keine Aufbewahrungspflichten bestehen.
• Einschränkung (Art. 18 DSGVO): Verarbeitung einschränken.
• Datenübertragbarkeit (Art. 20 DSGVO): Strukturierte, gängige Übertragung deiner Daten, soweit technisch machbar.
• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitung auf Basis berechtigter Interessen.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Jederzeit mit Wirkung für die Zukunft; die Rechtmäßigkeit bis zum Widerruf bleibt unberührt.

Zur Ausübung deiner Rechte genügt eine Nachricht an die unten genannte E-Mail-Adresse. Wir antworten in der Regel innerhalb eines Monats.

15. Beschwerderecht bei einer Aufsichtsbehörde

Du bzw. Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des Ortes der mutmaßlichen Verletzung.

Zuständig kann unter anderem die Datenschutzaufsicht des Bundeslandes des Wohnsitzes sein (Liste: bfdi.bund.de).

16. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter anderem Transportverschlüsselung (TLS), Zugriffsbeschränkungen, Mandantentrennung, segmentierte Infrastruktur und regelmäßige Updates.

Absolute Sicherheit kann im Internet nicht garantiert werden; wir empfehlen ein starkes, individuelles Passwort bzw. sichere Authentifizierung und die Aktivierung von Gerätesperren.

17. Minderjährige

Die Nephion App richtet sich an volljährige Nutzerinnen und Nutzer (mindestens 18 Jahre). Minderjährige sollen die App nur mit Zustimmung der Erziehungsberechtigten nutzen. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren ohne elterliche Einwilligung.

Nephion Professionals richtet sich an berufliche Nutzerinnen und Nutzer in Gesundheitseinrichtungen und nicht an Minderjährige als Endnutzerinnen und Endnutzer.

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Rechtslage, Funktionen oder Verarbeitungspraxis ändern. Die jeweils aktuelle Fassung ist unter nephion.com/privacy abrufbar; bei wesentlichen Änderungen informieren wir registrierte Nutzerinnen und Nutzer bzw. Einrichtungen, soweit erforderlich, zusätzlich in der App, in Professionals oder per E-Mail.

19. Wellness- und Produkt-Hinweis: kein Medizinprodukt

Nephion Me unterstützt dich bei der Einordnung deiner Gesundheitsdaten im Alltag. Die App und alle Auswertungen dienen ausschließlich der Wellness- und Präventionsorientierung. Sie stellen keine Diagnose, keine Therapieempfehlung und keinen Ersatz für ärztliche Beratung dar.

Nephion Professionals unterstützt Behandlungsteams bei der Einsicht freigegebener Daten und der Kommunikation; klinische Verantwortung und Dokumentation bleiben bei den Fachkräften und der Einrichtung.

Bei akuten oder schwerwiegenden Beschwerden wende dich bzw. wenden Sie sich an medizinisches Fachpersonal oder den Notruf.

20. Kontakt Datenschutz

Fragen zu dieser Erklärung oder zur Verarbeitung deiner Daten richtest du an: support@nephion.com

Impressum · Support · Startseite