Rechtliches

Datenschutzerklärung

Stand: 25. August 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Hemostat GmbH Eschbach 9d 56323 Waldesch Deutschland

E-Mail: [email protected]

Vertreten durch den Geschäftsführer Michael Pauly.

Datenschutzbeauftragter

Unseren Datenschutzbeauftragten erreichen Sie unter [email protected] oder postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter".

2. Erhebung und Verarbeitung beim Aufruf der Website

Beim Aufruf von hemostat.de werden durch unseren Hosting-Provider (GitLab Pages, GitLab B.V. mit EU-Datenresidenz) Server-Logfiles erfasst. Verarbeitet werden:

• IP-Adresse (gekürzt nach 7 Tagen, danach anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• Referrer-URL (sofern übermittelt)
• Browser- und Betriebssystem-Information (User-Agent)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Bereitstellung und Sicherheit der Website). Speicherdauer: 7 Tage in nicht-anonymisierter Form, anschließend dauerhafte Anonymisierung der IP.

Content Delivery Network (Cloudflare)

Die Website hemostat.de wird über das Content Delivery Network der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA ausgeliefert. Cloudflare terminiert die TLS-Verschlüsselung und verarbeitet dabei technisch notwendige Verbindungsdaten (insbesondere Ihre IP-Adresse, angefragte URL, User-Agent), um Auslieferung, Zwischenspeicherung (Caching) und Abwehr von Angriffen (z. B. DDoS) zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer, performanter Bereitstellung). Cloudflare agiert als Auftragsverarbeiter (Art. 28 DSGVO). Die dabei anfallenden Verbindungsdaten speichert Cloudflare nur so lange, wie dies für Betrieb, Fehleranalyse und Absicherung des Dienstes erforderlich ist; Einzelheiten ergeben sich aus der Datenschutzerklärung von Cloudflare. Da eine Verarbeitung in den USA nicht ausgeschlossen ist, stützt sich die Übermittlung auf das EU-US Data Privacy Framework (Cloudflare ist zertifiziert) sowie die EU-Standardvertragsklauseln. Details: cloudflare.com/privacypolicy.

Hinweis: Die Cloud-App-Subdomains (my., dev., qa.hemostat.de) laufen bewusst nicht über Cloudflare, sondern direkt beim EU-Hoster — dort werden keine Verbindungsdaten an Cloudflare übermittelt.

3. Cookies und Einwilligungsverwaltung

Diese Website setzt beim Aufruf keine Tracking-Cookies, kein Webanalyse-Tool und keine einwilligungspflichtigen Drittanbieter-Skripte. Technisch notwendige Skripte unseres Content-Delivery-Networks (Cloudflare, siehe Abschnitt 2) können unabhängig von Ihrer Auswahl geladen werden. Beim ersten Besuch erscheint ein Cookie-Banner, in dem Sie aktiv zwischen zwei Optionen wählen:

• Nur notwendige — keine einwilligungspflichtigen Drittanbieter-Skripte werden geladen. Das Hubspot-Kontaktformular wird nicht angezeigt; Sie können stattdessen direkt per E-Mail Kontakt aufnehmen (siehe Abschnitt 6).
• Alle akzeptieren — Hubspot Forms (EU-Region) wird geladen, sobald die Kontaktseite aufgerufen wird, und kann eigene Cookies setzen.

Ihre Entscheidung speichern wir ausschließlich lokal in Ihrem Browser (localStorage); eine Übertragung an unsere Server findet nicht statt. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei zulässig, weil sie unbedingt erforderlich ist, um Ihre Auswahl umzusetzen. Sie können die Einstellung jederzeit ändern, indem Sie im Footer auf „Cookie-Einstellungen" klicken.

Rechtsgrundlage für notwendige Funktionen: Art. 6 Abs. 1 lit. f DSGVO. Rechtsgrundlage für Drittanbieter-Dienste: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Die Termin-Buchung unter Abschnitt 5 erfolgt über einen externen Link (kein eingebetteter Inhalt); dort beginnt die Datenverarbeitung erst auf der Zielseite.

4. Hubspot-Formular auf der Kontaktseite

Auf /kontakt/ bieten wir ein Pilot-Anfrage-Formular an, das technisch von Hubspot Ireland Ltd., 1 Sir John Rogerson's Quay, Dublin 2, Irland bereitgestellt wird. Hubspot agiert als Auftragsverarbeiter (AVV nach Art. 28 DSGVO).

Verarbeitung erfolgt nur, wenn Sie im Cookie-Banner „Alle akzeptieren" gewählt haben. Solange keine Einwilligung vorliegt, wird das Hubspot-Skript nicht geladen und es werden keine Daten an Hubspot übermittelt.

Bei Nutzung des Formulars verarbeitet Hubspot in unserem Auftrag:

• Anrede, Name, Funktion
• Einrichtung (Auswahl)
• E-Mail-Adresse, ggf. Telefonnummer
• Nachrichteninhalt
• Zeitstempel und IP-Adresse zur Spam-Abwehr

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses, sofern eine Pilot-Anfrage gestellt wird).

Speicherort: EU-Region (Hubspot-Datenresidenz Frankfurt). Speicherdauer: maximal 24 Monate; bei Vertragsabschluss richtet sie sich nach den steuer- und handelsrechtlichen Aufbewahrungsfristen.

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben; ohne die Pflichtangaben des Formulars können wir Ihre Anfrage jedoch nicht bearbeiten.

Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie eine E-Mail an [email protected] senden.

5. Termin-Buchung (Google Workspace)

Wenn Sie auf der Kontaktseite einen Termin buchen, werden Sie auf eine Buchungsseite weitergeleitet, die von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland bereitgestellt wird. Die Datenverarbeitung erfolgt erst auf der Google-Seite, nicht auf hemostat.de.

Verarbeitete Daten: Name, E-Mail-Adresse, gewählter Termin, ggf. Notiz.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit Klick auf den Buchungs-Link) sowie Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses).

Details siehe Google-Datenschutzerklärung: https://policies.google.com/privacy.

6. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht einschließlich aller Angaben, die Sie freiwillig mitteilen, zum Zweck der Bearbeitung Ihres Anliegens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Anfragen mit geschäftlichem Bezug unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Ihre Kontaktdaten können wir Ihre Anfrage jedoch nicht beantworten.

7. Kundenverwaltung (HubSpot CRM)

Anfragen, Gesprächsnotizen und Kontaktdaten von Interessenten und Kunden verwalten wir in einem Customer-Relationship-Management-System der Hubspot Ireland Ltd., 1 Sir John Rogerson's Quay, Dublin 2, Irland. Hubspot verarbeitet diese Daten ausschließlich in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Speicherort ist die EU-Region (Frankfurt).

Verarbeitet werden: Name, Funktion, Einrichtung, geschäftliche Kontaktdaten, Inhalt und Zeitpunkt unserer Korrespondenz sowie der Bearbeitungsstatus der Anfrage.

Herkunft der Daten: Neben Daten, die Sie uns selbst mitteilen, verarbeiten wir Kontaktdaten, die wir öffentlich zugänglichen berufsbezogenen Quellen entnommen haben – insbesondere beruflichen Netzwerken wie LinkedIn sowie Websites von Einrichtungen. Wir verarbeiten dabei ausschließlich berufsbezogene Angaben (Name, Funktion, Einrichtung, geschäftliche Kontaktdaten).

E-Mail-Tracking und Lead-Bewertung: In E-Mails, die wir über Hubspot versenden, wird ausgewertet, ob die E-Mail geöffnet und ob enthaltene Links angeklickt wurden. Außerdem bewertet Hubspot Interaktionen von Interessenten (Lead-Scoring), um unsere Ansprache zu priorisieren. Diese Auswertung dient ausschließlich der Vertriebssteuerung; eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung ist damit nicht verbunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Anbahnung geschäftlicher Kontakte im B2B-Bereich und an effizienter Vertriebssteuerung); bei bestehender Geschäftsbeziehung zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: maximal 24 Monate ab dem letzten Kontakt; bei Vertragsabschluss richtet sich die Speicherdauer nach den handels- und steuerrechtlichen Aufbewahrungsfristen.

Sie können der Verarbeitung Ihrer Daten zu Zwecken der Direktansprache — einschließlich E-Mail-Tracking und Lead-Bewertung — jederzeit formlos widersprechen (Art. 21 Abs. 2 DSGVO), etwa per E-Mail an [email protected]. Wir löschen Ihre Daten dann unverzüglich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Datenverarbeitung in der Hemostat-Cloud-App

Die Hemostat-Cloud-App ist ein eigenständiges Produkt für Vertragspartner. Die hier dargestellte Datenschutzerklärung betrifft die Website. Für die Nutzung der App gilt der mit dem Vertragspartner geschlossene Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

Zur Information für interessierte Besucher:innen, in welchem Umfang die App Daten verarbeitet:

• Verarbeitete Daten: Transport-Metadaten (wer hat wann was wohin gegeben), App-Nutzer-Stammdaten (Name, Rolle, E-Mail), Geräte-Identifier zum Login, Übergabepunkt-Standorte. Bei aktiviertem Live-Tracking zusätzlich Fahrer-Positionsdaten — ausschließlich während aktiver Schicht bzw. aktivem Transport, mit Einwilligung, Pause-Schalter und automatischer Löschung nach Aufbewahrungsfrist (Standard 30 Tage). Die Position ist während der Schicht für die Disposition der eigenen Organisation sichtbar (Einsatzsteuerung); Kunden sehen sie nur auf der letzten Meile eines für sie aktivierten Transports.
• Löschfristen — zwei getrennte Regelungen: Fahrer-Positionsdaten werden nach Ablauf der Aufbewahrungsfrist automatisch gelöscht (Standard 30 Tage). Davon unabhängig wird die Übergabedokumentation (Ereigniskette, Zeitstempel, Siegel-Nachweise, Unterschriften) revisionssicher über die mit dem Vertragspartner vereinbarten bzw. gesetzlich vorgegebenen Aufbewahrungsfristen hinweg gespeichert — sie ist der Kern des Nachweisprodukts und unterliegt bewusst nicht der 30-Tage-Löschung.
• Nicht verarbeitete Daten: Patientendaten, Diagnosen, Befunde, Ortung außerhalb von Schicht und Transport, private Bewegungsprofile.
• Datenresidenz: EU (Deutschland).
• Rolle der Hemostat GmbH: Auftragsverarbeiter im Sinne von Art. 28 DSGVO; Verantwortlicher ist die einsetzende Einrichtung (Krankenhaus, Labor, Praxis).
• TOMs: technisch-organisatorische Maßnahmen sind dokumentiert und auf Anfrage einsehbar.
• Bezug zur Telematikinfrastruktur (TI): Hemostat ist kein TI-Fachdienst. Eine Anbindung an die TI ist für den Standard-Betrieb nicht erforderlich. Sollte in Zukunft eine TI-Anbindung erfolgen (z. B. für KIM-Versand von Audit-Exports), wird sie hier dokumentiert.

Detaillierte App-Verarbeitungsverzeichnisse erhalten Vertragspartner separat. Die vollständige Datenschutzerklärung der Plattform (Web-App + iOS-App) finden Sie unter my.hemostat.de/datenschutz.

9. Ihre Rechte

Nach DSGVO haben Sie folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Ausübung der Rechte: per E-Mail an [email protected] oder per Post an die unter Abschnitt 1 genannte Adresse.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet nicht statt. Die unter Abschnitt 7 beschriebene Lead-Bewertung dient ausschließlich der internen Priorisierung unserer Ansprache; Entscheidungen über Vertragsabschlüsse oder Konditionen trifft stets ein Mensch.

10. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz Hintere Bleiche 34, 55116 Mainz Web: https://www.datenschutz.rlp.de

11. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Rahmenbedingungen oder verarbeitende Dienste ändern. Stand der aktuellen Erklärung: 25. August 2026.