Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf der Plattform MedCanDeals ist die t3rp GmbH:

Für Datenschutzanfragen erreichen Sie uns unter service@medcandeals.de.

2. Für wen diese Hinweise gelten

MedCanDeals ist eine von der t3rp GmbH betriebene, geschlossene B2B-Plattform für verifizierte Apotheken, pharmazeutische Großhändler und die von t3rp eingesetzten Administratoren. Diese Datenschutzerklärung gilt für Besucher der öffentlichen Seiten, registrierte Benutzer, vertretungsberechtigte Ansprechpartner und sonstige Beschäftigte der teilnehmenden Unternehmen, deren Daten im Rahmen der Plattformnutzung verarbeitet werden.

3. Aufruf der Website und technische Protokolldaten

Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Adresse, übertragene Datenmenge, Browser, Betriebssystem, Geräteinformationen und verweisende Seite gehören. Diese Verarbeitung ist erforderlich, um die Plattform sicher, stabil und fehlerfrei bereitzustellen, Angriffe zu erkennen und technische Störungen zu untersuchen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Plattform.

4. Registrierung, Anmeldung und Benutzerkonto

Für Registrierung und Zugang verarbeiten wir insbesondere Vor- und Nachname, geschäftliche E-Mail-Adresse, ausgewählte Rolle, Einladungs- und Registrierungsstatus, Zeitpunkte der Zustimmung sowie technische Anmelde- und Sicherheitsdaten. Passwörter werden nicht im Klartext gespeichert, sondern ausschließlich als kryptografisch abgeleitete Prüfwerte. Einmalcodes und Sitzungsschlüssel werden ebenfalls nur in geschützter Form und mit zeitlicher Begrenzung verarbeitet.

Die Zwei-Faktor-Anmeldung per E-Mail, begrenzte Anmeldeversuche und die Sitzungsverwaltung dienen dem Schutz der Benutzerkonten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung und Durchführung der Plattformnutzung sowie Art. 6 Abs. 1 lit. f DSGVO für Zugangs-, Missbrauchs- und Systemsicherheit.

5. Unternehmen, Rollen und Verifikation

Für die Freischaltung verarbeiten wir Unternehmensname, Anschrift, geschäftliche Kontaktdaten, Organisationstyp, Erlaubnisart, Erlaubnisnummer, Gültigkeitsangaben, Prüfstatus und die eingereichten gewerblichen Nachweise. Dazu gehören bei Apotheken insbesondere die Apothekenbetriebserlaubnis und bei Großhändlern die für den Plattformzugang angeforderten Erlaubnis- und gegebenenfalls GDP-Nachweise.

Die Dokumente werden in einem nicht öffentlichen Speicherbereich abgelegt. Auf Verifikationsunterlagen dürfen nur zuständige MedCanDeals-Administratoren zugreifen. Freigegebene Rollen und Organisationszugehörigkeiten werden bei geschützten Vorgängen serverseitig geprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die dokumentierte Zugangsprüfung und Missbrauchsabwehr beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

6. Auktionen, Gebote und Aufträge

Zur Durchführung des B2B-Handelsprozesses verarbeiten wir Angebots-, Chargen- und Produktdaten, Gebotspreise, Wunschmengen, Zeitpunkte, Zuteilungen, Auftragsnummern und Auftragsstatus. Bei Versand und Wareneingang werden außerdem Versanddatum, Versanddienstleister, Sendungsnummer sowie Bestätigungs- und Abschlusszeitpunkte verarbeitet.

Großhändler und Apotheke erhalten die Informationen, die sie zur Abwicklung ihres gemeinsamen Auftrags benötigen. Dazu gehören die geschäftlichen Kontaktdaten des jeweiligen Handelspartners. Andere Apotheken erhalten keinen Einblick in personenbezogene Daten oder Kontaktdaten fremder Bieter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Interne Nachrichten und Benachrichtigungen

Für jeden Auftrag können die beteiligte Apotheke und der beteiligte Großhändler Textnachrichten austauschen. Verarbeitet werden Nachrichteninhalt, Absender, zugehöriges Unternehmen, Auftrag und Versandzeitpunkt. Der Nachrichtenverlauf ist ausschließlich für die beiden Handelspartner bestimmt. Bitte übermitteln Sie darin keine Gesundheitsdaten von Patienten und keine Informationen, die für die Auftragsabwicklung nicht erforderlich sind.

In-App- und transaktionale E-Mail-Benachrichtigungen informieren unter anderem über Anmeldung, Verifikation, Gebotsereignisse, Zuschläge, Auftragsstatus, neue Nachrichten und Rechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; sicherheitsbezogene Mitteilungen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

8. Gebühren, Rechnungen und Zahlungsabgleich

Für die Abrechnung der MedCanDeals-Plattformgebühr verarbeiten wir die abrechnungspflichtige Organisation, bestätigte Handelsmenge, Abrechnungszeitraum, Rechnungsanschrift, Rechnungs-E-Mail-Adresse, Umsatzsteuerangaben, Rechnungspositionen, Zahlweg und Zahlungsstatus. Beim Zahlungsabgleich können zusätzlich Buchungsdatum, Betrag, Währung, Name des Auftraggebers, gekürzter Kontohinweis und Verwendungszweck verarbeitet werden.

Der derzeitige Zahlungsabgleich für Überweisungen erfolgt innerhalb des geschützten Adminbereichs. Eine Anbindung für SEPA-Lastschriften ist technisch vorbereitet, aber noch nicht produktiv aktiviert. Vor einer Aktivierung werden diese Datenschutzhinweise um die dann tatsächlich eingesetzten Zahlungsprozesse ergänzt. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.

9. Protokollierung und Plattformsicherheit

Gebotsänderungen, Freigaben, Zuschläge, Auftragsstatus, sicherheitsrelevante Änderungen und administrative Maßnahmen werden mit Zeitpunkt, ausführendem Benutzer, zugehöriger Organisation und Vorgangsbezug protokolliert. Dies dient der Nachvollziehbarkeit, Fehleranalyse, Missbrauchsabwehr und Rechtsverteidigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

10. Hosting, E-Mail-Versand und Empfänger

Für Bereitstellung, Wartung und transaktionalen E-Mail-Versand setzt t3rp technische Auftragsverarbeiter ein. Diese verarbeiten Daten ausschließlich im vereinbarten Umfang und nach dokumentierter Weisung. Außerdem erhalten die jeweiligen Handelspartner personenbezogene Daten, soweit dies für den gemeinsamen Auftrag erforderlich ist.

Weitere Empfänger können technische Dienstleister, Steuer- und Rechtsberater oder Behörden sein, sofern dies für den Betrieb, die Abrechnung, die Erfüllung gesetzlicher Pflichten oder die Rechtsverteidigung erforderlich ist. Eine Weitergabe zu Werbezwecken, ein Verkauf personenbezogener Daten oder eine Übermittlung an Adresshändler findet nicht statt.

Weitere Informationen zu den eingesetzten Kategorien von Auftragsverarbeitern können über die in dieser Datenschutzerklärung genannten Kontaktwege angefordert werden.

11. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Bei der Bereitstellung der Plattform oder einzelner Dienste können Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums eingesetzt werden. Solche Übermittlungen erfolgen nur auf einer zulässigen Grundlage, insbesondere aufgrund eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien wie den EU-Standardvertragsklauseln.

12. Cookies und technisch erforderliche Speicherung

t3rp verwendet für MedCanDeals nur technisch erforderliche Cookies oder vergleichbare Speichermechanismen, soweit sie für Anmeldung, Sitzungsverwaltung, Sicherheit und ausdrücklich angeforderte Plattformfunktionen notwendig sind. Rechtsgrundlage für den Zugriff auf das Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung personenbezogener Daten erfolgt nach Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

t3rp setzt für MedCanDeals derzeit keine Webanalyse, keine Werbe- oder Social-Media-Plugins, kein Profiling und keinen Newsletter ein.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind. Zeitlich begrenzte Einmalcodes und Sitzungen verlieren nach Ablauf oder Widerruf ihre Gültigkeit. Konten, Organisationsdaten und Verifikationsunterlagen werden grundsätzlich für die Dauer der Teilnahme und anschließend nur so lange aufbewahrt, wie gesetzliche Pflichten oder berechtigte Interessen an Nachweis und Rechtsverteidigung dies erfordern.

Auktions-, Auftrags-, Nachrichten- und Auditdaten werden nach Abschluss des Vorgangs anhand gesetzlicher Dokumentationspflichten und der maßgeblichen Verjährungsfristen überprüft. Rechnungen und Buchungsbelege werden grundsätzlich acht Jahre aufbewahrt; längere Fristen können insbesondere für bestimmte Bücher, Aufzeichnungen oder bei noch nicht abgeschlossenen steuerlichen Verfahren gelten. Nicht mehr erforderliche Daten werden gelöscht oder, wenn eine Löschung rechtlich nicht zulässig ist, für andere Zwecke gesperrt.

14. Ihre Datenschutzrechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO und Datenübertragbarkeit nach Art. 20 DSGVO. Eine erteilte Einwilligung können Sie nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen.

Gegen eine Verarbeitung auf Grundlage berechtigter Interessen können Sie nach Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Zur Ausübung Ihrer Rechte genügt eine Nachricht an service@medcandeals.de.

15. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für den Sitz des Verantwortlichen ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz zuständig, Hintere Bleiche 34, 55116 Mainz. Das Online-Beschwerdeformular ist auf der Website der Behörde verfügbar.

16. Automatisierte Abläufe

Die Plattform ordnet Gebote nach dem festgelegten Auktionsverfahren und erstellt daraus Zuteilungen und Aufträge. Diese regelbasierte Verarbeitung betrifft das Geschäft zwischen den teilnehmenden Organisationen. Eine Bonitätsbewertung, ein persönliches Profiling oder eine ausschließlich automatisierte Entscheidung über eine natürliche Person mit rechtlicher oder vergleichbar erheblicher Wirkung findet nicht statt.

17. Datensicherheit und Aktualisierung

Die Übertragung erfolgt verschlüsselt über HTTPS. Rollen, Freigabestatus und Organisationszugehörigkeit werden bei geschützten Vorgängen serverseitig geprüft. Verifikationsdokumente werden nicht öffentlich bereitgestellt. Zugriffe und sicherheitsrelevante Änderungen werden nachvollziehbar protokolliert.

t3rp aktualisiert diese Datenschutzerklärung, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Es gilt die auf dieser Seite veröffentlichte Fassung.