Datenschutzerklärung

Stand: 30.05.2026

Wir freuen uns über dein Interesse an pflevum.de. Der Schutz deiner personenbezogenen Daten ist uns wichtig. Diese Erklärung informiert dich gemäß Art. 13 DSGVO darüber, welche Daten wir wann zu welchem Zweck verarbeiten und welche Rechte du als Betroffener hast.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:

Sener Özdemir
Goethestraße 23
38226 Salzgitter
Deutschland
E-Mail: kontakt@pflevum.de
Telefon: +49 176 84732034

Wir haben keinen Datenschutzbeauftragten benannt, da wir gesetzlich nicht dazu verpflichtet sind. Anfragen zum Datenschutz richte bitte an die oben genannte E-Mail-Adresse.

2. Erhobene Daten und Verarbeitungszwecke

2.1 Server-Logfiles

Beim Aufruf unserer Seiten erhebt unser Hosting-Provider technisch notwendige Daten:

• gekürzte IP-Adresse,
• Datum und Uhrzeit der Anfrage,
• aufgerufene URL und HTTP-Statuscode,
• Referrer und User-Agent (Browser/Betriebssystem).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität, Sicherheit und Missbrauchsabwehr).
Speicherdauer: 14 Tage, anschließend automatisierte Löschung.

2.2 Pflegegrad-Rechner und MD-Vorbereitung

Eingaben in den Pflegegrad-Rechner und das 7-Tage-Pflegetagebuch werden ausschließlich lokal in deinem Browser (LocalStorage) gespeichert. Es findet keine Übertragung an unsere Serverstatt. Du kannst die Daten jederzeit über die Browser-Einstellungen löschen oder mit dem „Zurücksetzen“-Button im Tool entfernen.

Rechtsgrundlage: Eine Datenverarbeitung im rechtlichen Sinne findet auf unserer Seite nicht statt. Die Speicherung im LocalStorage ist nach § 25 Abs. 2 Nr. 2 TDDDG zur Bereitstellung der Funktionalität unbedingt erforderlich.

2.3 Foto-Upload (Bescheid-Check)

Wenn du einen Pflegekassen-Bescheid hochlädst, kann dieser personenbezogene Daten und insbesondere Gesundheitsdaten gemäß Art. 9 Abs. 1 DSGVO enthalten (Name, Adresse, Geburtsdatum, Diagnosen, Pflegegrad, Modul-Punkte).

• Rechtsgrundlage: deine ausdrückliche Einwilligung gem. Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO.
• Verarbeitung: Der Upload wird verschlüsselt (TLS 1.2+) an unseren Speicher in der EU (Supabase, Region Frankfurt — eu-central-1) übertragen, dort zwischengespeichert und an unseren KI-Dienstleister (Mistral AI, Frankreich — EU) zur Texterkennung (OCR) und Auswertung weitergegeben. Die KI-Verarbeitung erfolgt vollständig innerhalb der EU; ein Drittlandtransfer findet hierbei nicht statt.
• Speicherdauer der Originalfotos: Die hochgeladenen Bilder werden unmittelbar nach Abschluss der KI-Analyse automatisch gelöscht (Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO). Lediglich die strukturierten Analyse-Ergebnisse (Modul-Punkte, erkannte Diagnosen, Plausibilitäts-Befunde) verbleiben temporär in unserer Datenbank, um daraus dein Widerspruchs-PDF zu erzeugen.
• Speicherdauer der Analyse-Daten: Diese werden auf Anfrage sofort gelöscht. Nicht erfolgreich abgeschlossene Sessions werden zusätzlich nach maximal 30 Tagen automatisiert entfernt (Backstop).
• Widerruf: Du kannst deine Einwilligung jederzeit per E-Mail an kontakt@pflevum.de widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

2.4 Widerspruchs-PDF und E-Mail-Versand

Auf Wunsch versenden wir dir das generierte Widerspruchs-PDF an deine angegebene E-Mail-Adresse. Versanddienstleister ist Resend (siehe § 3.4).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie deine Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO.
• Speicherdauer: Versanddaten werden nach 30 Tagen aus den Resend-Logs gelöscht.

2.5 Reichweitenmessung mit Vercel Analytics

Wir nutzen Vercel Analytics sowie Vercel Speed Insights (Vercel Inc., USA — siehe Punkt 3.1) zur statistischen Reichweitenmessung und Performance-Erfassung. Beide Dienste arbeiten cookielos und ohne Speicherung personenbezogener Daten oder IP-Adressen; erfasst werden lediglich aggregierte Daten (Seitenaufrufe, Referrer, Land, Gerätetyp, Web Vitals wie Ladezeit). Eine Personenidentifizierung ist ausgeschlossen — die User-Erkennung erfolgt über einen täglich wechselnden Hash aus User-Agent + Salt, ohne dauerhafte Identifier.

Zusätzlich erheben wir über Custom Events aggregierte Statistiken zu Klicks auf Affiliate-Links (Partner-Name + Quell-Slug, keine personenbezogenen Daten).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an aggregierter Reichweitenmessung). Eine Einwilligung ist nicht erforderlich, weil weder Cookies gesetzt noch IP-Adressen gespeichert werden (§ 25 TDDDG findet keine Anwendung).
• Server-Standort: EU (Vercel Frankfurt / fra1).
• Mehr Infos: vercel.com/docs/analytics/privacy-policy

2.6 Affiliate-Tracking und Werbepartner

Pflevum empfiehlt Produkte und Dienstleistungen Dritter (Pflegehilfsmittel, Treppenlifte, Hausnotruf, 24h-Pflege-Vermittlung, Versicherungen) und erhält dafür Provisionen über Affiliate-Netzwerke und Direkt-Programme. Affiliate-Links sind im Text klar mit „Anzeige“ oder „Werbung“ gekennzeichnet.

Eingesetzte Affiliate-Netzwerke (Tracking-Partner):

• Awin AG — Eichhornstraße 3, 10785 Berlin — globales Affiliate-Netzwerk mit DACH-Hosting. awin.com/de/rechtliche-hinweise/privacy-policy
• ADCELL / Firstlead GmbH — Rosenfelder Straße 15-16, 10315 Berlin. adcell.de/datenschutz
• Webgains Ltd. — Stevenage, UK (DACH-Vertretung Nürnberg). webgains.com/de/privacy-policy
• belboon GmbH — Schreiberhauer Str. 30, 10317 Berlin. belboon.com/de/rechtliches/datenschutz

Aktuell beworbene Werbepartner (Stand 05/2026):

• Pflegebox.de (proSenio AG, Hamburg) — Pflegehilfsmittel-Box · via Awin
• Lifta GmbH (Köln) — Treppenlifte · via Awin
• Aroundhome (MyHammer AG, Berlin) — Handwerker-Vermittlung für Senioren-Umbauten · via Awin
• Libify Technologies — Hausnotruf-Anbieter · Direkt-Programm
• Pflegehase.de — Pflegekassen-Antrag-Hilfe · via ADCELL (in Vorbereitung)
• Diadema-Pflege — 24h-Pflege-Vermittlung · via Webgains (in Vorbereitung)
• ERGO Versicherung AG — Pflegezusatzversicherung · via Webgains (in Vorbereitung)
• Münchener Verein (mv-pflege.de) — Pflegezusatzversicherung · via belboon
• CHECK24 (Vergleichsportal) — via Awin (in Vorbereitung)
• Treppenlift-Lotse.de — Vergleichsportal · Direkt-Programm
• VGK24.de — Krankenkassen-Wechsel-Service · Direkt-Programm

Wir setzen kein Pre-Click-Tracking ein. Tracking-Cookies werden erst nach deinem aktiven Klick auf einen Affiliate-Link von dem jeweiligen Netzwerk auf der Zielseite gesetzt. Bei Awin und ADCELL erfolgt die Klick-Aufzeichnung über einen Redirect über deren Tracking-Domains (z.B. awin1.com, adcell.de), wobei IP-Adresse, Zeitstempel und unsere Publisher-ID übermittelt werden. Erst mit deinem Klick lädt pflevum.de zusätzlich das Awin-MasterTag (dwin1.com) nach; dieses Skript kann eine kurzlebige Session-Kennung als Cookie auf pflevum.de setzen und übermittelt die Klick-Session an Awin. Vor dem Klick wird kein solches Skript geladen und kein Cookie gesetzt. Diese Datenverarbeitung erfolgt in eigener Verantwortung des jeweiligen Netzwerks bzw. Werbetreibenden — bitte informiere dich in deren Datenschutzerklärungen (Links oben).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Conversion-Messung und Provisionsabrechnung) sowie deine konkludente Einwilligung durch aktives Anklicken des gekennzeichneten Werbe-Links.
• Widerspruchsrecht: Du kannst Affiliate-Links jederzeit ignorieren. Eine Pflicht zur Nutzung besteht nicht — alle Pflevum-Tools (Rechner, Foto-Check, Widerspruchs-Generator) sind ohne Affiliate-Klicks vollständig nutzbar.

2.7 Pflege-Lexikon — anonyme Suchstatistik

Unser Pflege-Lexikon (Floating-Button und /lexikon-Bereich) erlaubt eine Such-Suche zu Pflege-Begriffen. Damit wir das Lexikon laufend verbessern, speichern wir anonyme Aggregat-Statistiken:

• Was wird gespeichert: ein HMAC-SHA-256-Hash der normalisierten Suchanfrage mit einem nur uns bekannten serverseitigen Schlüssel (keine Klartext-Anfrage), das Datum (ohne Uhrzeit), ob ein Treffer gefunden wurde sowie ein Zähler für gleichartige Suchen am selben Tag.
• Was NICHT gespeichert wird: keine IP-Adresse, keine User-Agent-Daten, keine Session- oder Geräte-Kennungen, keine Original-Suchanfrage.
• Zweck: Erkennen von Themen-Hotspots (welche Begriffe werden oft gesucht), Identifikation fehlender Begriffe und Optimierung der Pflevum-Tool-Vorschläge.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produkt-Verbesserung bei minimal-invasiver, anonymer Erhebung).
• Speicherdauer: 12 Monate; danach automatische Löschung durch täglichen Cron-Job.
• Hinweis: Aufgrund des HMAC-Verfahrens mit nicht öffentlichem Server-Schlüssel ist eine Re-Identifizierung einzelner Nutzer auch bei kompromittierter Datenbank praktisch ausgeschlossen (echte Anonymisierung im Sinne von Erwägungsgrund 26 DSGVO).

2.8 Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst, werden die übermittelten Daten (Name, E-Mail-Adresse, Inhalt) zur Bearbeitung der Anfrage gespeichert.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: bis zur Erledigung der Anfrage; gesetzliche Aufbewahrungspflichten bleiben unberührt.

3. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein. Mit allen wurde — soweit erforderlich — ein Auftragsverarbeitungs-Vertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

3.1 Vercel Inc. — Hosting

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA — Hosting der Website. Region: Frankfurt am Main (fra1). AVV mit Standardvertragsklauseln (SCC) der EU-Kommission liegt vor.

3.2 Supabase — Datenbank und File-Storage

Supabase Inc., 970 Toa Payoh North #07-04, Singapore — Datenbank, Authentifizierung und File-Storage. Region: eu-central-1 (Frankfurt). AVV liegt vor.

3.3 Mistral AI — Texterkennung (OCR) und KI-Analyse

Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich — KI-gestützte Texterkennung (OCR) und Analyse hochgeladener Pflegekassen-Bescheide. Mistral AI ist ein EU-natives Unternehmen; Modelle und Hosting befinden sich in der EU.

• Verarbeitung erfolgt nur mit deiner ausdrücklichen Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO.
• Eingereichte Inhalte werden gemäß den Mistral-AI-Geschäftsbedingungen (API-Nutzung) nicht für das Training von Modellen verwendet.
• Es findet keine dauerhafte Speicherung über die Verarbeitung der Anfrage hinaus statt.
• Die Verarbeitung erfolgt vollständig innerhalb der EU — es findet kein Drittlandtransfer statt. Ein Auftragsverarbeitungs-Vertrag (AVV) gem. Art. 28 DSGVO liegt vor.

3.3b Google Cloud (Vertex AI) — KI-Analyse (Profi-Bereich)

Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland — KI-gestützte Analyse hochgeladener Pflegegutachten im Profi-Bereich (Modell: Gemini über Vertex AI). Region: EU (Vertex AI EU-Multi-Region).

• Verarbeitung nur mit deiner ausdrücklichen Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO.
• Eingereichte Inhalte werden gemäß der Vertex-AI-Data-Governance nicht für das Training von Modellen verwendet.
• Keine dauerhafte Speicherung über die Verarbeitung der Anfrage hinaus.
• Verarbeitung in der EU-Region. Da die Muttergesellschaft Google LLC (USA) ist, sichern ein Auftragsverarbeitungs-Vertrag (AVV) gem. Art. 28 DSGVO und die EU-Standardvertragsklauseln (SCC) einen theoretischen Drittland-Restzugriff ab.

3.4 Resend — Transaktionale E-Mails

Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA — Versand transaktionaler E-Mails (Widerspruchs-PDF, Bestätigungen). Region: EU (eu-west-1, Irland). AVV mit SCC liegt vor.

3.5 Vercel Analytics + Speed Insights — Reichweitenmessung

Vercel Inc. (siehe Punkt 3.1) — cookielose Web-Analytics sowie Performance-Messung. Verarbeitung wie unter Punkt 2.5 beschrieben.

3.6 united-domains AG — DNS / Domain

united-domains AG, Gautinger Straße 10, 82319 Starnberg, Deutschland — DNS-Verwaltung der Domain pflevum.de.

3.7 Cohere Inc. — Multilinguale Embeddings für Lexikon-Suche

Cohere Inc., 169 Bay Street, Suite 2900, Toronto, Ontario, M5J 0A7, Kanada — erzeugt multilinguale Vektor-Embeddings (Modell embed-multilingual-v3.0), die für die semantische Suche im Pflege-Lexikon genutzt werden.

• Was übertragen wird: die normalisierte Suchanfrage (max. 500 Zeichen) sowie die Begriffe + Kurzdefinitionen aus unserem Lexikon (öffentliche Inhalte).
• Was NICHT übertragen wird: keine personenbezogenen Daten, keine IP-Adresse, keine Session-Kennung.
• Drittlandtransfer: Kanada. Die EU-Kommission hat mit Beschluss 2002/2/EG (aktualisiert) Kanada als Land mit angemessenem Datenschutzniveau eingestuft — siehe Punkt 4.
• Cohere Privacy Policy: Eingaben werden gemäß deren Standard-Terms nicht für das Training der Embedding-Modelle verwendet (siehe cohere.com/privacy, Abschnitt „Data Usage for Training“).

3.8 Jina AI — Embeddings für die Bescheid-Analyse

Jina AI GmbH, Prinzessinnenstraße 19-20, 10969 Berlin, Deutschland — erzeugt Vektor-Embeddings (Modell jina-embeddings-v3), die zur Anreicherung der Bescheid-Analyse mit passenden Stellen aus den Begutachtungs-Richtlinien (BRi) und einschlägigen Rechtsquellen dienen.

• Was übertragen wird:eine technische Such-Anfrage je geprüftem Modul, bestehend aus der Modul-Bezeichnung und aus Stichworten, die aus den Bescheid-Inhalten abgeleitet werden (z. B. „Modul 4 Bewertung Körperpflege An- und Auskleiden“, max. 800 Zeichen).
• Was NICHT übertragen wird: kein Name, keine Adresse, kein Geburtsdatum, keine vollständigen Bescheid-Dokumente, keine IP-Adresse, keine Session-Kennung.
• Standort / Drittlandtransfer: Jina AI ist ein deutsches Unternehmen (EU). Ein AVV gem. Art. 28 DSGVO liegt vor.
• Rechtsgrundlage: deine ausdrückliche Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO (im Rahmen der Bescheid-Analyse).

4. Drittlandtransfer

Eine Übermittlung personenbezogener Daten in Drittländer (außerhalb des EWR) findet ausschließlich an die in Punkt 3 genannten US-Anbieter statt. Soweit Daten in die USA übertragen werden, geschieht dies auf Grundlage der EU-US Data Privacy Framework-Zertifizierungen (Vercel, Resend) bzw. der Standardvertragsklauseln (SCC) der EU-Kommission mit ergänzenden Schutzmaßnahmen (Art. 46 Abs. 2 DSGVO).

Wir weisen darauf hin, dass in den USA derzeit kein mit der EU vergleichbares Datenschutzniveau besteht und ein Zugriff von US-Behörden auf personenbezogene Daten grundsätzlich nicht ausgeschlossen werden kann.

5. Speicherdauer (Übersicht)

6. Sicherheit

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein:

• TLS-Verschlüsselung (HTTPS) für alle Verbindungen,
• EU-Hosting (Vercel Frankfurt, Supabase eu-central-1),
• verschlüsselte Speicherung in der Datenbank (AES-256 at rest),
• Zugriff auf Server-Konsolen nur über 2FA,
• automatisierte Löschroutinen für Foto-Uploads,
• regelmäßige Sicherheits-Audits und Updates der eingesetzten Komponenten.

7. Deine Rechte als Betroffener

Nach DSGVO stehen dir insbesondere folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO) — welche Daten wir über dich gespeichert haben;
• Recht auf Berichtigung (Art. 16 DSGVO);
• Recht auf Löschung(Art. 17 DSGVO, „Recht auf Vergessenwerden“);
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruchsrecht gegen die Verarbeitung (Art. 21 DSGVO), insbesondere gegen direktwerblich motivierte Verarbeitung;
• Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung deiner Rechte genügt eine formlose E-Mail an kontakt@pflevum.de. Wir werden deine Anfrage unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) bearbeiten.

8. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für unseren Sitz zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: +49 511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Web: lfd.niedersachsen.de

Du kannst dich auch an jede andere Aufsichtsbehörde wenden, insbesondere an die deines gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes.

9. Cookies

Wir verwenden keine Tracking-Cookies und keine Werbe-Cookies. Vercel Analytics + Speed Insights arbeiten cookielos. Lediglich technisch notwendige Speicherungen im LocalStorage deines Browsers (z.B. zur Speicherung deiner Cookie-Hinweis-Bestätigung, Pflegegrad-Wizard-Eingaben, Pflegetagebuch) werden gesetzt. Diese sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei zulässig, weil sie für die Bereitstellung der vom Nutzer ausdrücklich gewünschten Funktion unbedingt erforderlich sind.

10. Affiliate-Links und externe Inhalte

Affiliate-Links auf pflevum.de sind mit „Anzeige“ oder „Werbung“ gekennzeichnet. Erst beim Klick auf einen solchen Link wirst du zum Drittanbieter weitergeleitet, der dann seine eigenen Cookies und Tracking-Mechanismen einsetzt. Hierfür sind ausschließlich die Drittanbieter datenschutzrechtlich verantwortlich. Bitte informiere dich auf deren Websites über deren Datenschutzpraxis.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung bei Änderungen unserer Verarbeitungspraxis oder neuer rechtlicher Vorgaben an. Die jeweils aktuelle Fassung ist über den Link „Datenschutz“ im Footer abrufbar. Wesentliche Änderungen kennzeichnen wir zusätzlich auf der Startseite.