Datenschutzerklärung

Stand: Juli 2026

1. Verantwortlicher

ZK Sanitätshaus UG (haftungsbeschränkt)
Katharinenstraße 9, 20457 Hamburg
Vertreten durch die Geschäftsführung
E-Mail: info@medsox.de · Telefon: 040 30392990

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht besteht.

2. Das Wichtigste in Kürze

medsox ist ein Online-Sanitätshaus. Für die Versorgung mit Kompressionsstrümpfen auf Rezept verarbeiten wir Gesundheitsdaten (Art. 9 DSGVO) — ausschließlich mit deiner ausdrücklichen Einwilligung.
Deine Anamnese-Daten (Messwerte, Rezeptfotos) speichern wir auf Servern in der EU (Frankfurt am Main).
Wir verkaufen keine Daten und schalten kein Tracking zu Werbezwecken ohne deine Einwilligung (Cookie-Banner, Standard: nur notwendige).

3. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten: Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen die Verarbeitung (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Wende dich dazu formlos an info@medsox.de.

Du hast zudem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.

4. Hosting und Shop-Plattform (Shopify)

Unser Online-Shop läuft auf der E-Commerce-Plattform Shopify (Shopify International Ltd., Victoria Buildings, 1-2 Haddington Road, Dublin 4, Irland). Shopify verarbeitet dabei Bestell-, Konto-, Zahlungs- und Zugriffsdaten (Server-Logs, IP-Adresse, Geräteinformationen) in unserem Auftrag. Eine Übermittlung in Drittländer (u. a. Kanada, USA) ist möglich; sie erfolgt auf Grundlage von Angemessenheitsbeschlüssen bzw. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (sicherer, funktionsfähiger Shop-Betrieb). Details: Shopify-Datenschutzerklärung.

5. Digitale Anamnese und Gesundheitsdaten (Art. 9 DSGVO)

Kern unseres Angebots ist die digitale Anamnese: Du beantwortest Fragen zu deiner Versorgung, vermisst deine Beine und kannst dein Rezept fotografieren. Dabei verarbeiten wir:

Gesundheitsdaten: Verordnungsdaten (Strumpfart, Kompressionsklasse, Anzahl), Körpermaße (Umfänge und Längen deiner Beine), Angaben zu Strickart und Versorgungsanlass, Rezeptfoto (inkl. Diagnose-/Arztangaben), optional Beinfotos, Krankenversicherung und Versichertennummer.
Kontakt- und Vertragsdaten: Name, E-Mail, Telefonnummer.

Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die wir im Anamnese-Prozess einholen, sowie Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; bereits erfolgte Abrechnungsvorgänge bleiben davon unberührt.

Speicherort und Dienstleister:

Supabase (Supabase Inc.): Datenbank und Datei-Speicher für Anamnese-Daten, Rezept- und Beinfotos. Die Daten liegen in der Region EU / Frankfurt am Main (AWS). Auftragsverarbeitungsvertrag inkl. EU-Standardvertragsklauseln besteht.
Vercel (Vercel Inc., USA): Hosting der Anamnese-Anwendung. Verarbeitet technische Zugriffsdaten (IP, Logs); Inhalte der Anamnese werden dort nur zur Verarbeitung durchgeleitet. EU-Standardvertragsklauseln.
Google Gemini API (Google Ireland Ltd.): Automatisches Auslesen deines Rezeptfotos (Texterkennung), um dir die manuelle Eingabe zu ersparen. Das Foto wird zur Auswertung an Google übermittelt und dort nicht zu Trainingszwecken gespeichert (API-Nutzung mit Datenverarbeitungsbedingungen). Rechtsgrundlage: deine ausdrückliche Einwilligung beim Upload.
Anthropic (Anthropic PBC, USA): KI-gestützte Text-Auswertung einzelner Anamnese-Angaben. EU-Standardvertragsklauseln; keine Nutzung deiner Daten zu Trainingszwecken.

Speicherdauer: Anamnese-Daten speichern wir für die Dauer der Versorgung und anschließend entsprechend den gesetzlichen Aufbewahrungspflichten für Abrechnungsunterlagen (bis zu 10 Jahre, § 147 AO); ohne abgeschlossene Bestellung löschen wir Anamnese-Sessions nach spätestens 24 Monaten. Auf Wunsch löschen wir früher, soweit keine Aufbewahrungspflicht entgegensteht.

6. Abrechnung mit deiner Krankenkasse (opta data)

Löst du ein Rezept bei uns ein, rechnen wir die Versorgung über unseren Abrechnungspartner opta data (opta data Abrechnungs GmbH, Berthold-Beitz-Boulevard 461, 45141 Essen) direkt mit deiner Krankenkasse ab. Dazu übermitteln wir die abrechnungsrelevanten Daten: Name, Anschrift, Krankenkasse, Versichertennummer, Verordnungsdaten, Liefernachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 302 SGB V (Abrechnung von Hilfsmitteln).

7. Bestellung, Zahlung und Versand

Zahlungsdienstleister: Je nach gewählter Zahlungsart werden deine Zahlungsdaten durch den jeweiligen Anbieter verarbeitet: Shopify Payments (Kreditkarten wie Visa, Mastercard, American Express sowie Apple Pay, Google Pay und Shop Pay; Zahlungsabwicklung durch Stripe) und Klarna. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Versand: Zur Lieferung übermitteln wir Name und Lieferadresse an den Hersteller deiner Strümpfe (Direktversand ab Werk) und den von ihm beauftragten Paketdienst (z. B. DHL, DPD, Hermes). Zur Sendungsverfolgung und für den Liefernachweis verarbeiten wir die Tracking-Daten der Sendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. E-Mails (Resend)

Transaktions-E-Mails (Bestellbestätigung, Rezept-Anforderung, Versandinfos, Zugang zu deinem persönlichen Bereich) versenden wir über Resend (Resend Inc., USA). Verarbeitet werden E-Mail-Adresse, Name und die Mail-Inhalte. EU-Standardvertragsklauseln bestehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails erhältst du nur mit gesonderter Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit per Abmelde-Link widerrufen kannst.

9. Videoberatung (Calendly)

Für die optionale Videoberatung nutzen wir Calendly (Calendly LLC, USA) zur Terminbuchung. Bei der Buchung verarbeitet Calendly Name, E-Mail und gewählten Termin. Das Buchungs-Widget wird erst geladen, wenn du den Beratungs-Schritt aktiv aufrufst. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Terminvereinbarung auf deine Anfrage).

10. Eingebettete Videos (YouTube)

In der Anamnese und im Ratgeber betten wir Anleitungs-Videos über YouTube (Google Ireland Ltd.) ein. Beim Abspielen eines Videos erhält Google deine IP-Adresse und setzt ggf. Cookies. Wir binden Videos im erweiterten Datenschutzmodus (youtube-nocookie.com) ein, soweit technisch möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Cookie-Banner bzw. aktives Abspielen).

11. Cookies und Einwilligung

Wir verwenden technisch notwendige Cookies (Warenkorb, Login, Spracheinstellung, Cookie-Präferenz) auf Grundlage von § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO. Alle nicht notwendigen Cookies (z. B. Statistik, Marketing) setzen wir nur nach deiner Einwilligung über unser Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Auswahl kannst du jederzeit ändern, indem du die Cookies deines Browsers für medsox.de löschst — das Banner erscheint dann erneut.

12. Server-Logfiles

Beim Aufruf unserer Seiten verarbeiten Shopify bzw. Vercel automatisch Informationen (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser-Typ), die zur Bereitstellung, Stabilität und Sicherheit erforderlich sind (Art. 6 Abs. 1 lit. f DSGVO). Diese Logs werden automatisiert nach kurzer Zeit gelöscht.

13. Kundenkonto und persönlicher Bereich

Nach abgeschlossener Anamnese legen wir dir ein Kundenkonto an und stellen deine Produktempfehlungen in einem persönlichen Bereich bereit, der über einen individuellen, nicht erratbaren Link erreichbar ist. Teile diesen Link nicht mit Dritten. Du kannst die Löschung deines Kontos und des persönlichen Bereichs jederzeit per E-Mail verlangen.

14. Empfänger-Übersicht (Auftragsverarbeiter und Dritte)

Shopify (Shop-Plattform, AVV) · Supabase (Datenbank/Storage EU-Frankfurt, AVV) · Vercel (App-Hosting, AVV) · Resend (E-Mail, AVV) · Google (Gemini-Rezeptauslese; YouTube-Videos) · Anthropic (KI-Auswertung, AVV) · Calendly (Terminbuchung)
opta data (Kassenabrechnung, eigenständig Verantwortlicher bzw. § 302 SGB V) · Hersteller und Paketdienste (Versand) · Zahlungsdienstleister (eigenständig Verantwortliche)

15. Keine automatisierte Entscheidungsfindung

Die KI-gestützte Rezept-Auslese ist eine Eingabehilfe — jede Versorgung wird vor Ausführung durch unsere Orthopädie-Fachkräfte geprüft. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.

16. Datensicherheit

Alle Verbindungen zu unseren Seiten sind TLS-verschlüsselt. Der Zugriff auf Gesundheitsdaten ist auf die mit der Versorgung betrauten Personen beschränkt; Zugriffe sind protokolliert.