Datenschutz­erklärung.

1. Verantwortliche

Verantwortliche für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne der DSGVO:
Nicole Lurz, Hauptstr. 73, 69168 Wiesloch
Telefon: +49 179 938 32 38
E-Mail: praxis@nicole-lurz.de

2. Hosting

Diese Website wird gehostet auf GitHub Pages, einem Dienst der GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA, einer Tochtergesellschaft der Microsoft Corp. Beim Aufruf der Website werden technisch erforderliche Server-Logfiles durch GitHub erfasst (IP-Adresse, Datum, Uhrzeit, abgerufene Ressource, Referrer, User-Agent). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, störungsfreien Betrieb).

GitHub ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; Datenübermittlungen in die USA erfolgen auf dieser Grundlage (Art. 45 DSGVO). Weitere Informationen: GitHub Privacy Statement. Speicherdauer der Logfiles: bis zu 30 Tage durch GitHub.

3. Datenarten, Zwecke und Rechtsgrundlagen

Personenbezogene Daten werden in folgenden Zusammenhängen verarbeitet:

• Kontaktanfragen per Kontaktformular, E-Mail, WhatsApp oder Telefon. Zweck: Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. lit. f DSGVO.
• Online-Terminbuchung über Lemniscus. Zweck: Terminvereinbarung und ‑abwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Behandlungsdaten (Anamnese, Befunde, Therapieverlauf). Zweck: Behandlung und Dokumentation. Rechtsgrundlage: Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 BDSG (Gesundheitsversorgung). Behandlungsdaten werden ausschließlich praxisintern erhoben und nicht über die Website übermittelt.
• Server-Logfiles beim Aufruf der Website (siehe Punkt 2).
• Reichweitenmessung und Anzeigenmessung mit Google Analytics und dem Meta-Pixel, nur wenn Sie im Banner eingewilligt haben (siehe Punkt 4.7 bis 4.9). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

4. Eingesetzte Drittdienste

4.1 Lemniscus · Online-Terminbuchung

Die Online-Terminbuchung erfolgt über Lemniscus, ein Dienst der LEMNISCUS GmbH, Albstadtweg 10, 70567 Stuttgart, Deutschland. Auf jeder Seite dieser Website wird ein Floating-Widget („LemmyFlansch") eingebunden, das beim Aufruf eine Verbindung zu my.lemniscus.de herstellt. Übertragen werden dabei IP-Adresse, Browser-Informationen und ggf. Eingaben zur Terminanfrage. Server-Standort: Deutschland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. lit. f DSGVO (berechtigtes Interesse an effizienter Terminorganisation). Mit Lemniscus besteht ein Auftragsverarbeitungs­vertrag nach Art. 28 DSGVO. Datenschutz­hinweise des Anbieters: my.lemniscus.de/datenschutz.

4.2 nForms · Kontaktformular

Für die Verarbeitung des Kontaktformulars wird nForms (api.nforms.eu) eingesetzt. Auf jeder Seite dieser Website wird ein Spam-Schutz-Skript („shield.js") geladen; bei Absenden des Formulars werden Ihre Eingaben (Name, E-Mail, Telefon, Anliegen, Nachricht) an nForms übermittelt und von dort als E-Mail an die Praxis weitergeleitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f DSGVO. Server-Standort: EU. Mit nForms besteht ein AVV nach Art. 28 DSGVO. Datenschutz­hinweise des Anbieters: nforms.eu/datenschutz. Bitte schildern Sie keine Symptome oder Diagnose-Wünsche im Formular. Das vertiefte Gespräch findet im persönlichen CheckIn statt.

4.3 WhatsApp Business

Wenn Sie mich per WhatsApp kontaktieren, werden Daten an WhatsApp Ireland Limited bzw. die Meta Platforms, Inc. (USA) übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Kontaktaufnahme). Meta ist DPF-zertifiziert. Hinweis: WhatsApp ermöglicht keine vollumfängliche DSGVO-Compliance. Bitte übermitteln Sie sensible Gesundheitsdaten nicht über WhatsApp.

4.4 Externe Links (Bewertungen, Social Media)

Im Footer und an einzelnen Stellen finden Sie Links zu ProvenExpert (Expert Systems AG, Quedlinburger Str. 1, 10589 Berlin), Google Bewertungen (Google Ireland Ltd.), Instagram und Facebook (beide Meta Platforms Ireland Ltd.). Es handelt sich um reine Text- bzw. Icon-Links, die keine Daten an die Anbieter übertragen, solange Sie sie nicht aktiv anklicken. Beim Klick gelten die Datenschutz­hinweise des jeweiligen Anbieters.

4.5 Schriftarten (Spectral, Inter)

Die auf dieser Website verwendeten Schriftarten Spectral und Inter werden lokal vom Webserver dieser Domain ausgeliefert. Es findet keine Verbindung zu Google Fonts oder anderen externen Schriftarten-Diensten statt. Eine Übertragung von IP-Adressen an Google erfolgt nicht.

4.6 Spam-Schutz

Das Kontaktformular ist durch ein verstecktes „Honeypot"-Feld sowie das nForms-Shield-Skript (siehe 4.2) gegen automatisierten Missbrauch geschützt. Es kommt kein Google reCAPTCHA und kein hCaptcha zum Einsatz.

4.7 Einwilligungs-Banner

Beim ersten Besuch erscheint am unteren Rand ein Hinweis. Dort entscheiden Sie, ob Google Analytics (Statistik) und der Meta-Pixel (Marketing) geladen werden dürfen: „Ablehnen", „Nur Statistik" oder „Alle akzeptieren". Bis zu Ihrer Entscheidung wird keiner der beiden Dienste geladen und kein Cookie dafür gesetzt.

Ihre Entscheidung wird nur lokal in Ihrem Browser gespeichert (localStorage, Schlüssel np_consent, mit Datum). Dieser Eintrag ist kein Cookie und wird weder an mich noch an Dritte übertragen. Nach 12 Monaten fragt der Banner erneut. Rechtsgrundlage für diese Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. c DSGVO (Nachweis der Einwilligung).

Widerruf: Über den Link „Cookie-Einstellungen" im Seitenfuß jeder Seite können Sie Ihre Wahl jederzeit mit Wirkung für die Zukunft ändern. Nehmen Sie eine Einwilligung zurück, werden die zugehörigen Cookies gelöscht und die Seite neu geladen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

4.8 Google Analytics 4 (Statistik)

Wenn Sie „Nur Statistik" oder „Alle akzeptieren" wählen, nutzt diese Website Google Analytics 4, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit sehe ich, welche Seiten aufgerufen werden, wie lange sie gelesen werden, über welchen Weg Besucher kommen (zum Beispiel Suchmaschine, Instagram, Anzeige) und mit welchem Gerätetyp. So kann ich die Website verbessern.

Google Analytics setzt dafür Cookies (_ga und _ga_DKGPX2XSJ8, Laufzeit bis zu 2 Jahre), die Ihren Browser bei weiteren Besuchen wiedererkennen. Verarbeitet werden unter anderem aufgerufene Seiten, Verweildauer, Herkunftsseite, ungefährer Standort (Land, Region), Browser, Betriebssystem und Bildschirmgröße. Ihre IP-Adresse wird bei Google Analytics 4 nicht gespeichert. Google Signale (Verknüpfung mit Google-Konten) und die Personalisierung von Werbung sind deaktiviert. Die Ereignisdaten werden nach 14 Monaten automatisch gelöscht.

Google verarbeitet die Daten in meinem Auftrag (Art. 28 DSGVO, Auftragsverarbeitungsbedingungen von Google). Eine Übermittlung an die Google LLC in den USA ist möglich. Google ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: policies.google.com/privacy.

4.9 Meta-Pixel (Marketing)

Nur wenn Sie „Alle akzeptieren" wählen, nutzt diese Website den Meta-Pixel, ein Angebot der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Damit messe ich, ob meine Anzeigen auf Facebook und Instagram zu Besuchen auf dieser Website führen, und kann Anzeigen gezielter an Menschen ausspielen, die die Website schon kennen.

Der Pixel setzt Cookies (_fbp, Laufzeit 90 Tage) und überträgt an Meta, dass eine Seite aufgerufen wurde, zusammen mit Seitenadresse, Zeitpunkt, IP-Adresse und Browser-Informationen. Nach der Anmeldung zum Newsletter wird zusätzlich das Ereignis „Lead" (Anmeldung) übertragen. Ich habe die automatische Erfassung von Klicks und Formularinhalten abgeschaltet. Auf den Fachartikeln im Blog wird der Meta-Pixel grundsätzlich nicht geladen, damit keine Rückschlüsse auf Gesundheitsthemen entstehen. Gesundheitsdaten im Sinne von Art. 9 DSGVO werden über den Pixel nicht übermittelt.

Für die Erhebung und Übermittlung der Daten an Meta bin ich gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu finden Sie unter facebook.com/legal/controller_addendum. Die weitere Verarbeitung erfolgt durch Meta als eigenständig Verantwortliche. Dabei können Daten an die Meta Platforms, Inc. in den USA übermittelt werden. Meta ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: facebook.com/privacy/policy.

5. Cookies & ähnliche Technologien

Ohne Ihre Einwilligung setzt diese Website keine Analyse- oder Marketing-Cookies. Cookies von Google Analytics und Meta werden nur gesetzt, wenn Sie im Banner zugestimmt haben (siehe Punkt 4.7 bis 4.9). Rechtsgrundlage ist dann § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO.

Die eingebundenen Drittdienste (Lemniscus, nForms) können im Rahmen ihrer Funktion technisch notwendige Speicherzugriffe vornehmen. Diese sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil sie für die ausdrücklich gewünschte Leistung unbedingt erforderlich sind.

6. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist:

• Kontaktanfragen ohne nachfolgenden Behandlungsvertrag: bis zu 6 Monate.
• Behandlungsdokumentation: 10 Jahre nach § 630f BGB.
• Steuerlich relevante Unterlagen (Rechnungen, Honorarbelege): 10 Jahre nach § 147 AO.
• Server-Logfiles: bis zu 30 Tage durch den Hoster (GitHub).
• Google Analytics: Ereignisdaten 14 Monate, Cookies bis zu 2 Jahre.
• Meta-Pixel: Cookie _fbp 90 Tage. Die Speicherdauer bei Meta richtet sich nach dessen Datenrichtlinie.
• Ihre Banner-Entscheidung: 12 Monate im localStorage Ihres Browsers.

7. Empfänger / Weitergabe

Personenbezogene Daten werden ausschließlich an folgende Auftragsverarbeiter und Empfänger weitergegeben:

• GitHub, Inc. (USA, DPF-zertifiziert): Hosting, Server-Logfiles.
• LEMNISCUS GmbH (Stuttgart, Deutschland): Online-Terminbuchung.
• nForms (EU): Verarbeitung der Kontaktformular-Eingaben.
• Google Ireland Limited (Irland, mit möglicher Übermittlung an Google LLC, USA, DPF-zertifiziert): Google Analytics, nur nach Einwilligung.
• Meta Platforms Ireland Limited (Irland, mit möglicher Übermittlung an Meta Platforms, Inc., USA, DPF-zertifiziert): Meta-Pixel, nur nach Einwilligung.
• Steuerberatung und ggf. Privatversicherung / Beihilfe der Patienten: bei Abrechnungs- und Erstattungsfragen, ausschließlich auf Grundlage einer entsprechenden Einwilligung oder gesetzlicher Verpflichtung.

Eine Übermittlung in Drittstaaten erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (insbesondere DPF, Standardvertragsklauseln).

8. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unzutreffender Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an praxis@nicole-lurz.de.

9. Beschwerderecht

Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren. Zuständig ist Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Postfach 10 29 32, 70025 Stuttgart, baden-wuerttemberg.datenschutz.de.

10. Sicherheit

Diese Website nutzt SSL/TLS-Verschlüsselung. Dadurch werden Daten, die Sie an die Website übertragen, vor dem Zugriff Dritter geschützt.

11. Aktualität dieser Erklärung

Stand: Oktober 2026. Diese Datenschutzerklärung wird bei Änderungen der eingesetzten Dienste oder der rechtlichen Rahmenbedingungen angepasst. Die jeweils aktuelle Fassung finden Sie auf dieser Seite.