Datenschutzerklärung für Somnara-Patientinnen und -Patienten

Somnara | Digitale Schlafmedizin · Ontara Health GmbH · Stand: August 2026

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten im Rahmen der Somnara-Plattform ist:

Ontara Health GmbH
Oberländer Straße 158
86163 Augsburg, Deutschland
Vertreten durch die Geschäftsführung: PD Dr. med. Renate Weber, Philipp Nolden-Temke
Amtsgericht Augsburg, HRB 42981
Telefon: 0160 29 777 17
E-Mail: datenschutz@somnara.de

Anfragen zum Datenschutz und zur Ausübung Ihrer Betroffenenrechte richten Sie bitte an datenschutz@somnara.de.

2. Gegenstand und Geltungsbereich

Diese Datenschutzerklärung informiert Sie über die Verarbeitung Ihrer personenbezogenen Daten, wenn Sie die Somnara-Plattform als Patientin oder Patient nutzen. Sie gilt für die Somnara-Web-Applikation sowie für native Somnara-Apps für iOS und Android, sobald diese angeboten werden.

Für den allgemeinen Besuch der Website somnara.de, insbesondere vor der Erstellung eines Patientenkontos, gilt ergänzend die allgemeine Datenschutzerklärung der Somnara-Website.

Der Schlaf-Selbsttest auf der Somnara-Website dient ausschließlich Ihrer persönlichen Orientierung. Solange Sie kein Konto erstellen und das Ergebnis nicht aktiv an uns übermitteln, werden Ihre Antworten nicht gespeichert und keiner Person zugeordnet; sie werden ausschließlich zur unmittelbaren Anzeige Ihres Ergebnisses verarbeitet. Sobald Sie ein Patientenkonto erstellen oder Daten an die Somnara-Plattform übermitteln, gilt diese Datenschutzerklärung.

Für die Teilnahme an klinischen Studien der Ontara Health GmbH gelten ausschließlich die dortigen Studienunterlagen, insbesondere die studienspezifische Patienteninformation und Einwilligungserklärung; diese Datenschutzerklärung findet insoweit keine Anwendung.

Somnara ist eine digitale Plattform zur Unterstützung der telemedizinischen Versorgung von Schlafstörungen. Sie kann Patientinnen und Patienten, behandelnde Ärztinnen und Ärzte sowie medizintechnische Versorgungsdienstleister bei Screening, Diagnostik, Therapie, Nachsorge und Telemonitoring miteinander verbinden.

Die Verarbeitung personenbezogener Daten, insbesondere von Gesundheitsdaten, erfolgt nach Maßgabe der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und der jeweils anwendbaren gesundheits-, berufs- und sozialrechtlichen Vorschriften.

3. Kategorien verarbeiteter Daten

Je nach Nutzung und Versorgungsfall können wir insbesondere folgende Daten verarbeiten:

3.1 Stamm- und Kontaktdaten

Vor- und Nachname; Geburtsdatum; Anschrift; Telefonnummer und E-Mail-Adresse; Krankenversicherungsnummer; Versichertenstatus und Krankenkasse.

3.2 Gesundheitsdaten

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Hierzu können gehören: Diagnosen und ICD-Codes; Symptombeschreibungen und Anamnesedaten; Schlaf-, Atemfluss-, Sauerstoffsättigungs- und sonstige Vitaldaten; Daten aus Polygraphie- oder vergleichbaren Messungen; PAP-, CPAP- oder APAP-Gerätenutzungs- und Therapieverlaufsdaten; ärztliche Befunde und Dokumentationen; Therapiepläne und Therapieempfehlungen; Angaben zu Medikation, Laborwerten, Vorerkrankungen und Begleiterkrankungen.

3.3 Behandlungs-, Prozess- und Kommunikationsdaten

Terminvereinbarungen und Kalendereinträge; Inhalte und Metadaten medizinischer Kommunikation; Informationen über Video- oder Telefonkonsultationen; Befundmitteilungen und Erinnerungen; Abrechnungsdaten und Leistungsnachweise; Anträge und Kommunikation mit Krankenkassen oder Versicherungen.

Audio- oder Videoaufzeichnungen von Konsultationen erfolgen nicht, sofern Sie nicht zuvor gesondert darüber informiert wurden und, soweit erforderlich, ausdrücklich eingewilligt haben.

3.4 Konto- und technische Daten

Benutzerkonto- und Login-Daten; IP-Adresse; Zeitpunkt und Art von Zugriffen; Geräte-, Browser- und Betriebssysteminformationen; App-Version und App-Nutzungsdaten; Sicherheits- und Fehlerprotokolle; Push-Benachrichtigungstoken, sofern Sie Push-Mitteilungen aktivieren. Passwörter werden nicht im Klartext gespeichert.

3.5 Daten aus Wearables und vernetzten Messgeräten

Die Somnara-Plattform kann künftig Daten aus Wearables oder weiteren vernetzten Messgeräten verarbeiten. Eine solche Verarbeitung erfolgt erst, wenn die entsprechende Funktion technisch bereitgestellt und von Ihnen aktiviert wurde. Vor der Einführung werden Sie über die betroffenen Geräte, Datenarten, Empfänger, Zwecke und Rechtsgrundlagen informiert. Soweit erforderlich, wird eine gesonderte ausdrückliche Einwilligung eingeholt.

4. Zwecke und Rechtsgrundlagen

4.1 Erstellung und Verwaltung des Patientenkontos

Wir verarbeiten die hierfür erforderlichen Stamm-, Kontakt-, Konto- und Sicherheitsdaten, um Ihr Patientenkonto einzurichten, zu verwalten und vor unbefugtem Zugriff zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit bereits bei der Kontoerstellung Gesundheitsdaten verarbeitet werden, erfolgt dies zusätzlich auf Grundlage von Art. 9 Abs. 2 lit. h i. V. m. Abs. 3 DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG. Soweit für einen bestimmten Vorgang eine ausdrückliche Einwilligung erforderlich ist, erfolgt die Verarbeitung auf Grundlage von Art. 9 Abs. 2 lit. a DSGVO.

4.2 Erbringung und Unterstützung schlafmedizinischer Leistungen

Wir verarbeiten Ihre Daten, um die über Somnara angebotenen oder unterstützten schlafmedizinischen Leistungen zu erbringen. Dazu können insbesondere gehören: digitales Screening und Anamnese; Organisation und Durchführung telemedizinischer Konsultationen; Koordination ambulanter Schlafdiagnostik; Bereitstellung und Auswertung von Messdaten; Befunderstellung und Behandlungsdokumentation; Therapieplanung und Therapiebegleitung; Telemonitoring und Nachsorge.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Behandlungs- bzw. Nutzungsvertrag, § 630a BGB) und, für Gesundheitsdaten, Art. 9 Abs. 2 lit. h i. V. m. Abs. 3 DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG. Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO wird nur insoweit als Rechtsgrundlage verwendet, wie die betreffende Verarbeitung tatsächlich von einer freiwilligen und widerruflichen Einwilligung abhängig gemacht werden kann.

4.3 Kommunikation, Terminverwaltung und Benachrichtigungen

Wir verarbeiten Ihre Kontaktdaten, um mit Ihnen im Zusammenhang mit Ihrem Konto und Ihrer Versorgung zu kommunizieren, insbesondere für Terminbestätigungen und -erinnerungen, Hinweise auf neue Befunde oder Dokumente, organisatorische Rückfragen, Recall-Nachrichten, sicherheitsrelevante Mitteilungen sowie medizinisch veranlasste Hinweise.

Als Kommunikationskanäle können E-Mail, SMS, Telefon und App-Push-Benachrichtigungen eingesetzt werden. Benachrichtigungen außerhalb der geschützten Plattformumgebung (E-Mail, SMS, Push) gestalten wir so, dass sie keine Gesundheitsinformationen enthalten, sondern lediglich auf Inhalte in Ihrem geschützten Patientenkonto hinweisen. Push-Benachrichtigungen erhalten Sie nur, wenn Sie diese auf Ihrem Endgerät aktiviert haben; Sie können sie jederzeit in den Systemeinstellungen deaktivieren.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und, soweit Gesundheitsdaten betroffen sind, Art. 9 Abs. 2 lit. h i. V. m. Abs. 3 DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG.

4.4 Abrechnung und Leistungsnachweise

Wir verarbeiten die erforderlichen Daten, um Abrechnungsvorschläge und Leistungsnachweise für die verantwortlichen Leistungserbringer zu erstellen und gesetzliche Dokumentationspflichten zu erfüllen. Soweit Somnara oder Ontara Health künftig selbst Leistungen gegenüber Krankenkassen, privaten Krankenversicherungen oder Selbstzahlenden abrechnet, werden Sie vor Beginn dieser Verarbeitung über die konkrete Rolle, die Empfänger und die Rechtsgrundlagen informiert. Rechtsgrundlagen können, abhängig vom konkreten Abrechnungsmodell, Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 9 Abs. 2 lit. h i. V. m. Abs. 3 DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG sein.

4.5 IT-Sicherheit und Missbrauchsabwehr

Wir verarbeiten die in Ziffer 3.4 genannten technischen Daten sowie Sicherheits- und Zugriffsprotokolle, um die Plattform sicher zu betreiben, unberechtigte Zugriffe zu erkennen und abzuwehren, Fehler zu analysieren und unsere Pflichten aus Art. 32 DSGVO zu erfüllen. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Plattform und dem Schutz der auf ihr verarbeiteten Gesundheitsdaten (Art. 6 Abs. 1 lit. f DSGVO) sowie Art. 6 Abs. 1 lit. c i. V. m. Art. 32 DSGVO. Ihnen steht das Widerspruchsrecht nach Ziffer 11 zu.

4.6 Freiwillige Nutzung für KI-Entwicklung und Plattformverbesserung

Mit Ihrer gesonderten, ausdrücklichen und freiwilligen Einwilligung dürfen hierfür vorgesehene pseudonymisierte Daten zur Entwicklung, Prüfung und Verbesserung von algorithmischen oder KI-gestützten Funktionen der Somnara-Plattform verwendet werden. Hierzu können insbesondere Funktionen zur Risikoeinschätzung, strukturierten Aufbereitung medizinischer Informationen oder klinischen Entscheidungsunterstützung gehören.

Pseudonymisiert bedeutet: Ihre Identitätsdaten (Name, Kontaktdaten, Versicherungsnummer) werden von den medizinischen Daten getrennt und durch eine Kennung ersetzt; der Zuordnungsschlüssel wird gesondert und zugriffsgeschützt aufbewahrt. Die Einwilligung ist keine Voraussetzung für die Erstellung eines Kontos oder für die medizinische Versorgung; eine Ablehnung oder ein späterer Widerruf führt zu keinen Nachteilen bei der Nutzung der Versorgungsleistungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und für Gesundheitsdaten Art. 9 Abs. 2 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Kontoeinstellungen oder per E-Mail an datenschutz@somnara.de widerrufen. Nach einem Widerruf werden Ihre Daten aus künftigen Entwicklungs- und Trainingszyklen ausgeschlossen; auf bereits abgeschlossene Entwicklungsschritte, in die Ihre Daten in nicht mehr zuordenbarer Form eingeflossen sind, kann sich der Widerruf technisch bedingt nicht rückwirkend auswirken.

4.7 Freiwillige Nutzung für wissenschaftliche Forschung

Mit Ihrer gesonderten und freiwilligen Einwilligung können pseudonymisierte Daten für konkret beschriebene wissenschaftliche Forschungszwecke im Bereich der Schlafmedizin verwendet werden. Soweit Daten an wissenschaftliche Partner übermittelt werden, werden Sie vor Erteilung der Einwilligung über die vorgesehenen Forschungsvorhaben, Datenkategorien, Empfänger oder Empfängerkategorien und Schutzmaßnahmen informiert.

Eine Übermittlung vollständig anonymisierter Daten ist möglich. Vollständig und irreversibel anonymisierte Daten lassen sich keiner Person mehr zuordnen und fallen nicht in den Anwendungsbereich der DSGVO; sie können daher auch nach einem Widerruf regelmäßig nicht mehr entfernt werden.

Rechtsgrundlage für die Verarbeitung nicht anonymisierter Gesundheitsdaten ist grundsätzlich Ihre ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Eine Verarbeitung auf Grundlage von Art. 9 Abs. 2 lit. j DSGVO i. V. m. § 27 BDSG kommt nur in Betracht, wenn deren konkrete gesetzliche Voraussetzungen erfüllt sind. Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft über die Kontoeinstellungen oder per E-Mail an datenschutz@somnara.de widerrufen.

4.8 Werbung und Produktinformationen

Wir verwenden Ihre Kontaktdaten nur dann für Werbung über neue Produkte, Leistungen oder Angebote, wenn Sie hierfür gesondert eingewilligt haben oder eine andere gesetzliche Erlaubnis besteht. Die Werbeeinwilligung ist freiwillig und unabhängig von Ihrem Patientenkonto und Ihrer medizinischen Versorgung. Sie können sie jederzeit mit Wirkung für die Zukunft über einen Abmeldelink, die Kontoeinstellungen oder per E-Mail an datenschutz@somnara.de widerrufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; ergänzend gelten die Anforderungen des § 7 UWG.

4.9 Keine ausschließlich automatisierten Entscheidungen

Siehe Ziffer 10.

5. Einwilligungen und Erklärungen bei der Kontoerstellung

Bei der Kontoerstellung werden notwendige Erklärungen und freiwillige Einwilligungen klar voneinander getrennt dargestellt.

5.1 Notwendige Erklärungen und Bereitstellung Ihrer Daten

Für die Erstellung eines Kontos müssen Sie die für die Konto- und Vertragsdurchführung erforderlichen Angaben machen, die geltenden Nutzungsbedingungen bzw. AGB akzeptieren und bestätigen, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben. Eine bloße Kenntnisnahme der Datenschutzerklärung ist keine datenschutzrechtliche Einwilligung.

Die Bereitstellung der in den Formularen als Pflichtfelder gekennzeichneten Angaben ist für die Kontoerstellung und die Erbringung der Versorgungsleistungen erforderlich; ohne diese Angaben können das Konto nicht eingerichtet und die Leistungen nicht erbracht werden. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

Soweit für einen konkreten medizinischen Verarbeitungsvorgang eine ausdrückliche Einwilligung erforderlich ist, wird diese gesondert, informiert und aktiv eingeholt. Die entsprechende Checkbox ist nicht vorausgewählt.

5.2 Freiwillige Einwilligungen

Einwilligungen für KI-Entwicklung, wissenschaftliche Forschung und Werbung werden jeweils getrennt von notwendigen Erklärungen, zweckbezogen, verständlich, nicht vorausgewählt und jederzeit widerruflich angeboten. Die Ablehnung einer freiwilligen Einwilligung verhindert weder die Kontoerstellung noch die medizinische Versorgung. Die Einwilligungs- und Opt-in-Einstellungen werden Ihnen bei der Kontoerstellung angezeigt und sind anschließend jederzeit über die Kontoeinstellungen Ihres Patientenkontos erreichbar.

6. Empfänger und beteiligte Stellen

Wir übermitteln personenbezogene Daten nur, soweit dies zur Versorgung, Vertragsdurchführung oder Erfüllung gesetzlicher Pflichten erforderlich ist, eine wirksame Einwilligung vorliegt oder eine andere Rechtsgrundlage die Übermittlung erlaubt. Je nach Versorgungsfall können insbesondere folgende Stellen Daten erhalten:

6.1 Behandelnde Ärztinnen und Ärzte

Zugelassene Kooperationsärztinnen und -ärzte erhalten die für Konsultation, Diagnostik, Befundung, Dokumentation und Therapieentscheidung erforderlichen Daten. Sie treffen medizinische Entscheidungen in eigener fachlicher Verantwortung.

Für die Verarbeitung Ihrer Behandlungsdaten über die Plattform - insbesondere Befunderstellung, Videokonsultationen und Fallkoordination - sind Ontara Health und die jeweils behandelnde Ärztin bzw. der behandelnde Arzt gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Das Wesentliche der hierzu getroffenen Vereinbarung: Ontara Health erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO durch diese Datenschutzerklärung, dient als zentrale Anlaufstelle für Ihre Anfragen und koordiniert deren Beantwortung, wobei sich die Verantwortlichen gegenseitig unverzüglich unterstützen; Ontara Health verantwortet die technische Sicherheit der Plattform (Art. 32 DSGVO), die behandelnde Ärztin bzw. der behandelnde Arzt die inhaltliche Richtigkeit der medizinischen Dokumentation; Meldungen von Datenschutzverletzungen koordiniert Ontara Health. Ungeachtet dieser Aufgabenverteilung können Sie Ihre Rechte nach der DSGVO gegenüber jedem der gemeinsam Verantwortlichen geltend machen (Art. 26 Abs. 3 DSGVO). Für die Dokumentation in der eigenen Praxisverwaltung ist die behandelnde Ärztin bzw. der behandelnde Arzt allein verantwortlich.

6.2 Medizintechnische Versorgungsdienstleister

Medizintechnische Versorgungsdienstleister können im erforderlichen Umfang Daten zur Bereitstellung, Rücknahme und technischen Betreuung diagnostischer oder therapeutischer Geräte sowie zur Übermittlung von Gerätenutzungsdaten erhalten. Sofern eine solche Zusammenarbeit aufgenommen wird, werden Sie vor Beginn der Verarbeitung über die konkrete Stelle, ihre Rolle, die betroffenen Datenarten, die Empfänger und die Rechtsgrundlagen informiert.

6.3 Krankenkassen und private Krankenversicherungen

Daten werden an Kostenträger übermittelt, soweit dies für gesetzlich zulässige Abrechnungen, Genehmigungen, Versorgungsanträge oder Leistungsnachweise erforderlich und erlaubt ist.

6.4 Schlaflabore, Kliniken und weitere Leistungserbringer

Bei einer medizinisch erforderlichen Weiterbehandlung oder vertiefenden Diagnostik können Daten an Schlaflabore, Kliniken oder andere Leistungserbringer übermittelt werden. Die Übermittlung erfolgt im erforderlichen Umfang und auf einer hierfür anwendbaren Rechtsgrundlage; soweit erforderlich, wird Ihre Einwilligung eingeholt.

6.5 Forschungsstellen

Forschungseinrichtungen oder wissenschaftliche Partner erhalten personenbezogene oder pseudonymisierte Daten nur, wenn hierfür eine wirksame Rechtsgrundlage besteht und Sie zuvor ausreichend informiert wurden (Ziffer 4.7). Vollständig anonymisierte Daten können ohne Personenbezug übermittelt werden.

6.6 IT- und Hosting-Dienstleister, Kommunikationsdienste

Technische Dienstleister verarbeiten Daten im erforderlichen Umfang als Auftragsverarbeiter gemäß Art. 28 DSGVO. Hierzu gehört insbesondere die Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Betrieb der Anwendungs- und Datenserver).

Für den Versand von E-Mails und SMS können die in der allgemeinen Datenschutzerklärung (somnara.de/datenschutz, dort Ziffern 2 und 6) genannten Versanddienstleister eingesetzt werden; die dortigen Angaben zu Rechtsgrundlagen und zur Absicherung etwaiger Drittlandübermittlungen gelten entsprechend. Vor der Aufnahme eines SMS-Versands wird der eingesetzte Dienstleister an dieser Stelle benannt. Benachrichtigungen enthalten dabei stets nur inhaltsfreie Hinweise im Sinne von Ziffer 4.3.

Sofern Sie in einer künftigen Somnara-App Push-Benachrichtigungen aktivieren, wird die Zustellung technisch über die Push-Dienste Ihres Geräteherstellers abgewickelt (Apple Push Notification Service der Apple Inc., USA, bzw. Firebase Cloud Messaging der Google LLC, USA). Übermittelt werden dabei ausschließlich das Push-Token und der inhaltsfreie Benachrichtigungstext, keine Gesundheitsinformationen. Beide Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.

Mit sämtlichen eingesetzten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

7. Hosting, App-Infrastruktur und Drittlandübermittlungen

Die Anwendungs- und Datenserver der Somnara-Plattform einschließlich der Videokonsultationsfunktion - einer Eigenentwicklung der Ontara Health GmbH - werden bei der Hetzner Online GmbH innerhalb der Europäischen Union betrieben. Patientendaten und sonstige Inhaltsdaten werden ausschließlich auf Servern innerhalb der Europäischen Union gespeichert und verarbeitet; ein externer Videokonferenzdienst wird nicht eingesetzt.

Die allgemeine Somnara-Website wird technisch getrennt von der Patientenplattform betrieben. Soweit bei der Auslieferung der Weboberflächen technische Zugriffsdaten über die Frontend-Infrastruktur verarbeitet werden, gelten die Angaben der allgemeinen Datenschutzerklärung (somnara.de/datenschutz, dort Ziffer 2) einschließlich der Absicherung über EU-Standardvertragsklauseln und das EU-US Data Privacy Framework entsprechend; Patientendaten sind hiervon nicht betroffen.

Im Übrigen findet eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums nur statt, wenn dies in dieser Datenschutzerklärung ausdrücklich beschrieben ist (insbesondere Ziffer 6.6) und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Eine Kopie der jeweils vereinbarten Standardvertragsklauseln stellen wir Ihnen auf Anfrage unter datenschutz@somnara.de zur Verfügung.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Regelmäßig gelten insbesondere folgende Grundsätze:

• Behandlungs- und Gesundheitsdaten: grundsätzlich zehn Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB, § 10 Abs. 3 MBO-Ä), soweit keine längere oder abweichende gesetzliche Frist gilt; die Speicherung auf der Plattform erfolgt im Rahmen der in Ziffer 6.1 beschriebenen Verantwortlichkeitsverteilung zur Sicherung der Versorgungskontinuität und zur Unterstützung der ärztlichen Dokumentationspflichten;
• abrechnungs- und steuerrelevante Unterlagen: entsprechend der jeweils anwendbaren handels- und steuerrechtlichen Frist (regelmäßig sechs, acht oder zehn Jahre, insbesondere § 147 AO, § 257 HGB);
• Nachweise erteilter oder widerrufener Einwilligungen: für die Dauer ihrer Verwendung und anschließend so lange, wie dies zur Erfüllung der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO) oder zur Rechtsverteidigung erforderlich ist;
• technische Sicherheits- und Zugriffsprotokolle: gespeichert aus Gründen der IT-Sicherheit und der Nachweispflichten beim Umgang mit Gesundheitsdaten, gelöscht, sobald sie hierfür nicht mehr erforderlich sind, spätestens nach 90 Tagen; eine längere Speicherung erfolgt nur anlassbezogen zur Aufklärung eines Sicherheitsvorfalls oder zur Erfüllung gesetzlicher Pflichten und beschränkt auf die betroffenen Datensätze;
• Werbedaten: bis zum Widerruf Ihrer Einwilligung oder Wegfall des Werbezwecks; erforderliche Sperrvermerke können darüber hinaus gespeichert werden, um weitere Werbung zu verhindern;
• Kontodaten: bis zur Beendigung des Kontos und anschließend nur, soweit eine weitere Speicherung gesetzlich erforderlich oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen zulässig ist.

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert.

9. Minderjährige

Die Nutzung medizinischer Leistungen durch Minderjährige hängt nicht allein von einer festen Altersgrenze ab. Maßgeblich sind insbesondere die Einsichts- und Einwilligungsfähigkeit der minderjährigen Person, die Art und Tragweite der Behandlung sowie die einschlägigen zivil-, berufs- und datenschutzrechtlichen Vorgaben; die Einwilligungsfähigkeit wird im Einzelfall geprüft und kann regelmäßig ab dem vollendeten 16. Lebensjahr in Betracht kommen.

Bei minderjährigen Nutzerinnen und Nutzern prüfen wir, ob die Einwilligung der Sorgeberechtigten erforderlich ist und wie die betroffene minderjährige Person angemessen informiert und beteiligt wird. Soweit ein digitaler Dienst auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO gestützt wird und Art. 8 DSGVO anwendbar ist, gelten zusätzlich dessen Anforderungen. Somnara richtet sich nicht ohne geeignete Alters- und Berechtigungsprüfung an Kinder; Daten Minderjähriger werden nicht wissentlich ohne die jeweils erforderliche Beteiligung oder Einwilligung der Sorgeberechtigten verarbeitet.

10. Algorithmische Systeme und automatisierte Entscheidungen

Somnara kann algorithmische oder KI-gestützte Systeme einsetzen, um medizinische Informationen zu strukturieren, oder Ärztinnen und Ärzte bei Differenzialdiagnostik und Therapieplanung zu unterstützen. Solche Systeme ersetzen keine ärztliche Beurteilung: Verbindliche Diagnosen, Therapieentscheidungen, Verordnungen oder vergleichbare klinische Entscheidungen werden stets von der jeweils verantwortlichen Ärztin oder dem jeweils verantwortlichen Arzt getroffen.

Eine ausschließlich automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlich erheblicher Weise beeinträchtigt (Art. 22 DSGVO), findet nicht statt.

11. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen vorrangigen Gründe entgegenstehen), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und auf Datenübertragbarkeit (Art. 20 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, insbesondere die Verarbeitung zu Zwecken der IT-Sicherheit nach Ziffer 4.5, Widerspruch einzulegen. Legen Sie Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an datenschutz@somnara.de. Zum Schutz Ihrer Gesundheitsdaten können wir bei begründeten Zweifeln an Ihrer Identität zusätzliche Informationen zur Identitätsbestätigung anfordern (Art. 12 Abs. 6 DSGVO). Wir beantworten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats nach Eingang; diese Frist kann in den Fällen des Art. 12 Abs. 3 DSGVO um zwei weitere Monate verlängert werden, worüber wir Sie informieren würden.

Im Rahmen der gemeinsamen Verantwortlichkeit nach Ziffer 6.1 können Sie Ihre Rechte auch gegenüber der behandelnden Ärztin bzw. dem behandelnden Arzt geltend machen (Art. 26 Abs. 3 DSGVO). Soweit eine Ärztin, ein Arzt oder ein anderer Leistungserbringer für eine Verarbeitung eigenständig verantwortlich ist, können Sie Ihre Rechte auch unmittelbar gegenüber dieser Stelle ausüben.

12. Beschwerderecht

Unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 Abs. 1 DSGVO). Die für Ontara Health zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach, Deutschland
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de · Website: https://www.lda.bayern.de

13. Datenschutz-Folgenabschätzung

Verarbeitungsvorgänge, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringen, unterziehen wir einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO. Aufgrund der Art und des Umfangs der Verarbeitung von Gesundheitsdaten auf der Somnara-Plattform werden die relevanten Verarbeitungsvorgänge im Rahmen dieses Verfahrens fortlaufend geprüft, dokumentiert und aktualisiert; hieraus abgeleitete Schutzmaßnahmen setzen wir vor Aufnahme der jeweiligen Verarbeitung um.

14. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um personenbezogene Daten gegen Verlust, Manipulation, unbefugte Offenlegung und unbefugten Zugriff zu schützen. Hierzu gehören insbesondere: Verschlüsselung der Datenübertragung nach dem Stand der Technik; Verschlüsselung gespeicherter Daten, soweit dem Risiko angemessen; Pseudonymisierung und Trennung von Identitäts- und Gesundheitsdaten, soweit möglich; rollenbasierte Berechtigungen nach dem Need-to-know-Prinzip; Mehrfaktor-Authentifizierung für besonders schutzbedürftige Zugänge; Protokollierung sicherheitsrelevanter Zugriffe; regelmäßige Überprüfung von Berechtigungen; Datensicherungen sowie Wiederherstellungs- und Notfallverfahren; Schwachstellenmanagement, Sicherheitsprüfungen und - soweit dem Risiko angemessen - Penetrationstests; Verpflichtung zugriffsberechtigter Personen zur Vertraulichkeit und Geheimhaltung (einschließlich der Verpflichtung nach § 203 Abs. 4 StGB, soweit berufsrechtlich geschützte Informationen betroffen sind) sowie deren Schulung.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Plattformfunktionen, eingesetzte Technologien, Empfänger, Verarbeitungsabläufe oder rechtliche Anforderungen ändern. Die aktuelle Fassung ist auf der Somnara-Website und innerhalb der Plattform abrufbar; frühere Fassungen stellen wir auf Anfrage zur Verfügung. Über wesentliche Änderungen, die Ihre Nutzung oder die Verarbeitung Ihrer Gesundheitsdaten betreffen, werden Sie in geeigneter Weise informiert.

Stand: August 2026 · Ontara Health GmbH · datenschutz@somnara.de