Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

ZK Sanitätshaus UG (haftungsbeschränkt)
Katharinenstraße 9, 20457 Hamburg
Vertreten durch die Geschäftsführung
E-Mail: info@medsox.de · Telefon: 040 30392990

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht besteht.

2. Das Wichtigste in Kürze

medsox ist ein Online-Sanitätshaus. Für die Versorgung mit Kompressionsstrümpfen auf Rezept verarbeiten wir Gesundheitsdaten (Art. 9 DSGVO) — ausschließlich mit deiner ausdrücklichen Einwilligung.
Deine Anamnese-Daten (Messwerte, Rezeptfotos) speichern wir auf Servern in der EU (Irland).
Wir verkaufen keine Daten und schalten kein Tracking zu Werbezwecken ohne deine Einwilligung (Cookie-Banner; ohne deine Zustimmung bleibt es bei den notwendigen Cookies).

3. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten: Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen die Verarbeitung (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Wende dich dazu formlos an info@medsox.de.

Du hast zudem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.

4. Hosting und Shop-Plattform (Shopify)

Unser Online-Shop läuft auf der E-Commerce-Plattform Shopify (Shopify International Ltd., Victoria Buildings, 1-2 Haddington Road, Dublin 4, Irland). Shopify verarbeitet dabei Bestell-, Konto-, Zahlungs- und Zugriffsdaten (Server-Logs, IP-Adresse, Geräteinformationen) in unserem Auftrag. Eine Übermittlung in Drittländer (u. a. Kanada, USA) ist möglich; sie erfolgt auf Grundlage von Angemessenheitsbeschlüssen bzw. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (sicherer, funktionsfähiger Shop-Betrieb). Details: Shopify-Datenschutzerklärung.

5. Digitale Anamnese und Gesundheitsdaten (Art. 9 DSGVO)

Kern unseres Angebots ist die digitale Anamnese: Du beantwortest Fragen zu deiner Versorgung, vermisst deine Beine und kannst dein Rezept fotografieren. Dabei verarbeiten wir:

Gesundheitsdaten: Verordnungsdaten (Strumpfart, Kompressionsklasse, Anzahl), Körpermaße (Umfänge und Längen deiner Beine), Angaben zu Strickart und Versorgungsanlass, Rezeptfoto (inkl. Diagnose-/Arztangaben), optional Beinfotos, Krankenversicherung und Versichertennummer.
Kontakt- und Vertragsdaten: Name, E-Mail, Telefonnummer.

Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die wir im Anamnese-Prozess einholen, sowie Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; bereits erfolgte Abrechnungsvorgänge bleiben davon unberührt.

Speicherort und Dienstleister:

Supabase (Supabase Inc.): Datenbank und Datei-Speicher für Anamnese-Daten, Rezept- und Beinfotos. Die Daten liegen in der Region EU / Irland (AWS, eu-west-1). Auftragsverarbeitungsvertrag inkl. EU-Standardvertragsklauseln besteht.
Vercel (Vercel Inc., USA): Hosting der Anamnese-Anwendung. Verarbeitet technische Zugriffsdaten (IP, Logs); Inhalte der Anamnese werden dort nur zur Verarbeitung durchgeleitet. EU-Standardvertragsklauseln.
Google Gemini API (Google Ireland Ltd.): Automatisches Auslesen deines Rezeptfotos (Texterkennung), um dir die manuelle Eingabe zu ersparen. Das Foto wird zur Auswertung an Google übermittelt und dort nicht zu Trainingszwecken gespeichert (API-Nutzung mit Datenverarbeitungsbedingungen). Rechtsgrundlage: deine ausdrückliche Einwilligung beim Upload.
Anthropic (Anthropic PBC, USA): KI-gestützte Text-Auswertung einzelner Anamnese-Angaben. EU-Standardvertragsklauseln; keine Nutzung deiner Daten zu Trainingszwecken.

Speicherdauer: Anamnese-Daten speichern wir für die Dauer der Versorgung und anschließend entsprechend den gesetzlichen Aufbewahrungspflichten für Abrechnungsunterlagen (bis zu 10 Jahre, § 147 AO); ohne abgeschlossene Bestellung löschen wir Anamnese-Sessions nach spätestens 24 Monaten. Auf Wunsch löschen wir früher, soweit keine Aufbewahrungspflicht entgegensteht.

6. Abrechnung mit deiner Krankenkasse (opta data)

Löst du ein Rezept bei uns ein, rechnen wir die Versorgung über unseren Abrechnungspartner opta data (opta data Abrechnungs GmbH, Berthold-Beitz-Boulevard 461, 45141 Essen) direkt mit deiner Krankenkasse ab. Dazu übermitteln wir die abrechnungsrelevanten Daten: Name, Anschrift, Krankenkasse, Versichertennummer, Verordnungsdaten, Liefernachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 302 SGB V (Abrechnung von Hilfsmitteln).

7. Bestellung, Zahlung und Versand

Zahlungsdienstleister: Je nach gewählter Zahlungsart werden deine Zahlungsdaten durch den jeweiligen Anbieter verarbeitet: Shopify Payments (Kreditkarten wie Visa, Mastercard, American Express sowie Apple Pay, Google Pay und Shop Pay; Zahlungsabwicklung durch Stripe) und Klarna. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Versand: Zur Lieferung übermitteln wir Name und Lieferadresse an den Hersteller deiner Strümpfe (Direktversand ab Werk) und den von ihm beauftragten Paketdienst (z. B. DHL, DPD, Hermes). Zur Sendungsverfolgung und für den Liefernachweis verarbeiten wir die Tracking-Daten der Sendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Online-Widerrufsfunktion: Widerrufst du einen Vertrag über unsere Online-Widerrufsfunktion (medsox.de/pages/vertrag-widerrufen), verarbeiten wir die Angaben, die du dort machst: deinen Namen, die Angaben zur Bestellung (Bestellnummer bzw. deine Beschreibung, gegebenenfalls die betroffenen Artikel), deine E-Mail-Adresse sowie Datum und Uhrzeit des Eingangs deiner Erklärung. Eine Begründung fragen wir nicht ab, deine IP-Adresse speichern wir dazu nicht. Zweck ist die Entgegennahme und Bearbeitung deines Widerrufs, die Zuordnung zu deiner Bestellung, der Versand der gesetzlich vorgeschriebenen Eingangsbestätigung und der Nachweis des Eingangszeitpunkts. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB sowie Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung des Vertrags). Das Formular wird von unserer bei Vercel gehosteten Anwendung verarbeitet, die Angaben werden bei Supabase gespeichert, die Eingangsbestätigung versenden wir über Resend (siehe Abschnitt 8). Unser Team wird über den Messenger-Dienst Telegram über den Eingang informiert; diese Meldung enthält nur deinen Vornamen mit dem Anfangsbuchstaben des Nachnamens und die Bestellnummer. Wir speichern die Angaben, solange es für die Rückabwicklung erforderlich ist, und darüber hinaus bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO). Du kannst deinen Widerruf alternativ jederzeit per E-Mail oder Brief erklären.

8. E-Mails (Resend)

Transaktions-E-Mails (Bestellbestätigung, Rezept-Anforderung, Versandinfos, Zugang zu deinem persönlichen Bereich) versenden wir über Resend (Resend Inc., USA). Verarbeitet werden E-Mail-Adresse, Name und die Mail-Inhalte. EU-Standardvertragsklauseln bestehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails erhältst du nur mit gesonderter Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit per Abmelde-Link widerrufen kannst.

Erinnerung an eine angefangene Anamnese. Kreuzt du im Schritt „Deine E-Mail-Adresse“ das Kästchen „Erinnert mich einmal per E-Mail, falls ich nicht fertig werde.“ an und schließt deine Anamnese nicht ab, schicken wir dir einmalig eine E-Mail mit einem Link, über den du an der gespeicherten Stelle weitermachen kannst; er gilt 7 Tage. Dafür verarbeiten wir deine E-Mail-Adresse, gegebenenfalls deinen Vornamen für die Anrede sowie Zeitpunkt und Textfassung deiner Einwilligung; versendet wird über Resend (siehe oben). Die Mail selbst enthält keine Gesundheitsangaben. Der Link enthält aber eine Kennung deiner Anamnese, mit der sich deine bisherigen Angaben aufrufen lassen, solange die Anamnese offen ist (höchstens 30 Tage nach deiner letzten Eingabe); leite die Mail deshalb nicht weiter. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, eine kurze Mail an info@medsox.de genügt; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Nach dem Versand schicken wir keine weitere Erinnerung, nach deinem Widerruf keine mehr, es sei denn, du kreuzt das Kästchen neu an. Den Nachweis deiner Einwilligung speichern wir zusammen mit der Anamnese und löschen ihn mit ihr (ohne abgeschlossene Bestellung spätestens nach 24 Monaten, siehe Abschnitt 5).

9. Videoberatung (Calendly)

Für die optionale Videoberatung nutzen wir Calendly (Calendly LLC, USA) zur Terminbuchung. Bei der Buchung verarbeitet Calendly Name, E-Mail und gewählten Termin. Das Buchungs-Widget wird erst geladen, wenn du den Beratungs-Schritt aktiv aufrufst. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Terminvereinbarung auf deine Anfrage).

10. Eingebettete Videos (YouTube)

In der Anamnese und im Ratgeber betten wir Anleitungs-Videos über YouTube (Google Ireland Ltd.) ein. Beim Abspielen eines Videos erhält Google deine IP-Adresse und setzt ggf. Cookies. Wir binden Videos im erweiterten Datenschutzmodus (youtube-nocookie.com) ein, soweit technisch möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Cookie-Banner bzw. aktives Abspielen).

11. Cookies und Einwilligung

Wir verwenden technisch notwendige Cookies (Warenkorb, Login, Spracheinstellung, Cookie-Präferenz) auf Grundlage von § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO. Alle nicht notwendigen Cookies (z. B. Statistik, Marketing) setzen wir nur nach deiner Einwilligung über unser Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Das Cookie-Banner stellt unser Shop-System Shopify bereit; deine Auswahl wird in einem technisch notwendigen Cookie gespeichert. Du kannst sie jederzeit ändern oder widerrufen, über den Link „Cookie-Einstellungen“ unten auf jeder Seite.

12. Google Analytics

Wir nutzen auf dieser Website Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Dienst hilft uns zu verstehen, wie Besucher unsere Website finden und nutzen, damit wir Inhalte und Bestellablauf verbessern können.

Google Analytics wird nur geladen, wenn du im Cookie-Banner eingewilligt hast. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Link „Cookie-Einstellungen“ unten auf jeder Seite (dort „Analysen“ abwählen oder „Alle ablehnen“).

Verarbeitet werden unter anderem aufgerufene Seiten, Verweildauer, ungefährer Standort, Gerät und Browser sowie die Herkunft des Besuchs. IP-Adressen speichert Google Analytics 4 nicht dauerhaft. Gesundheitsdaten, Rezeptdaten und Maße aus der Anamnese übermitteln wir nicht an Google Analytics.

Die Daten können an Server der Google LLC in den USA übertragen werden. Google ist nach dem EU-US Data Privacy Framework zertifiziert. Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Nutzer- und Ereignisdaten werden spätestens nach 14 Monaten gelöscht.

13. Server-Logfiles

Beim Aufruf unserer Seiten verarbeiten Shopify bzw. Vercel automatisch Informationen (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser-Typ), die zur Bereitstellung, Stabilität und Sicherheit erforderlich sind (Art. 6 Abs. 1 lit. f DSGVO). Diese Logs werden automatisiert nach kurzer Zeit gelöscht.

14. Kundenkonto und persönlicher Bereich

Nach abgeschlossener Anamnese legen wir dir ein Kundenkonto an und stellen deine Produktempfehlungen in einem persönlichen Bereich bereit, der über einen individuellen, nicht erratbaren Link erreichbar ist. Teile diesen Link nicht mit Dritten. Du kannst die Löschung deines Kontos und des persönlichen Bereichs jederzeit per E-Mail verlangen.

15. Empfänger-Übersicht (Auftragsverarbeiter und Dritte)

Shopify (Shop-Plattform, AVV) · Supabase (Datenbank/Storage EU-Irland, AVV) · Vercel (App-Hosting, AVV) · Resend (E-Mail, AVV) · Google (Gemini-Rezeptauslese; YouTube-Videos; Google Analytics, AVV) · Anthropic (KI-Auswertung, AVV) · Calendly (Terminbuchung) · Telegram (interne Team-Benachrichtigung, siehe Abschnitt 7)
opta data (Kassenabrechnung, eigenständig Verantwortlicher bzw. § 302 SGB V) · Hersteller und Paketdienste (Versand) · Zahlungsdienstleister (eigenständig Verantwortliche)

16. Keine automatisierte Entscheidungsfindung

Die KI-gestützte Rezept-Auslese ist eine Eingabehilfe — jede Versorgung wird vor Ausführung durch unsere Orthopädie-Fachkräfte geprüft. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.

17. Datensicherheit

Alle Verbindungen zu unseren Seiten sind TLS-verschlüsselt. Der Zugriff auf Gesundheitsdaten ist auf die mit der Versorgung betrauten Personen beschränkt; Zugriffe sind protokolliert.