Datenschutzerklärung
1. Verantwortlicher und Datenschutzbeauftragter
Verantwortlich für die Verarbeitung personenbezogener Daten auf cannaflow.herbaluh.de ist:
Taunus-Apotheke, Johannes Luh e.K. Inhaber: Johannes Luh Taunusstraße 20, 65183 Wiesbaden Telefon: 0611 / 5 12 06 E-Mail: info@taunus-apotheke-wiesbaden.de
Herbaluh ist eine Marke und ein Service der Taunus-Apotheke, einer Filialapotheke der Turm-Apotheke, Poststraße 24, 65191 Wiesbaden.
Unseren externen Datenschutzbeauftragten erreichen Sie unter:
A&A Arbeitsschutz GmbH, Niederlassung Bensheim Lahnstraße 27–29, 64625 Bensheim Telefon: 06251 / 70980, Fax: 06251 / 7098253 [E-Mail-Adresse des Datenschutzbeauftragten eintragen]
2. Grundsätze und Rechtsgrundlagen
Wir verarbeiten Ihre personenbezogenen Daten nur, soweit dies für den Betrieb des Shops, die Abwicklung Ihrer Bestellung und die Erfüllung unserer apothekenrechtlichen Pflichten erforderlich ist. Rechtsgrundlagen sind:
Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen (Bestellung, Lieferung, Zahlung, Beratung),
Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtungen (u. a. Apothekenbetriebsordnung, Arzneimittelgesetz, Medizinal-Cannabisgesetz, Handels- und Steuerrecht),
Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (sicherer und funktionsfähiger Betrieb der Website, Abwehr von Missbrauch, Geltendmachung von Ansprüchen),
Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung (z. B. für nicht notwendige Cookies oder einen Newsletter).
Besondere Kategorien personenbezogener Daten (Gesundheitsdaten): Mit der Verarbeitung Ihrer Verordnung erfahren wir Angaben über Ihre Gesundheit (Arzneimittel, Dosierung, ggf. Diagnose, Krankenkasse). Diese Daten verarbeiten wir auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG zur Versorgung mit Arzneimitteln und zur Abrechnung. Die Verarbeitung erfolgt durch pharmazeutisches Personal, das der Schweigepflicht nach § 203 StGB unterliegt. Soweit Gesundheitsdaten über die Website oder die APOLUH-App übermittelt werden, geschieht dies verschlüsselt.
Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.
3. Plattform CannaFlow und Hosting
Der Herbaluh-Shop wird technisch über die Shop-Plattform CannaFlow betrieben. Der Plattformbetreiber hostet die Website und speichert die im Shop erhobenen Daten (Kundenkonto, Bestellungen, Kommunikation) in unserem Auftrag. Mit dem Plattformbetreiber haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen; er verarbeitet Ihre Daten ausschließlich nach unserer Weisung.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und effizienten Betrieb des Shops.
4. Aufruf der Website, Server-Logfiles und Cookies
Beim Aufruf der Website übermittelt Ihr Browser automatisch Daten an den Server der Plattform. Diese werden in Server-Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Browsertyp und -version, Betriebssystem sowie die zuvor besuchte Seite (Referrer). Die Verarbeitung dient der Auslieferung der Website, der Systemsicherheit und der Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Logfiles werden nach spätestens [14] Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.
Cookies: Der Shop setzt technisch notwendige Cookies, die für den Warenkorb, den Login und die Sicherheit der Website erforderlich sind (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG). Diese Cookies benötigen keine Einwilligung. Nicht notwendige Cookies oder Analyse- und Marketing-Tools setzen wir nur mit Ihrer Einwilligung über das Cookie-Banner ein (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); die Einwilligung können Sie jederzeit über die Cookie-Einstellungen widerrufen.
5. Kundenkonto und Bestellung
Für eine Bestellung legen Sie ein Kundenkonto an oder bestellen als Gast. Wir verarbeiten dabei: Vor- und Nachname, Geburtsdatum (zur Altersprüfung und Rezeptzuordnung), Liefer- und Rechnungsanschrift, E-Mail-Adresse, Telefonnummer, Bestelldaten (Produkte, Mengen, Preise, Lieferart), Zahlungsart sowie Ihre Kommunikation mit uns zur Bestellung.
Die Verarbeitung erfolgt zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung gesetzlicher Dokumentationspflichten (Art. 6 Abs. 1 lit. c DSGVO). Bestelldaten enthalten zugleich Gesundheitsdaten (bestellte Arzneimittel); hierfür gilt Abschnitt 2.
Ihr Kundenkonto können Sie jederzeit löschen lassen; Bestelldaten bewahren wir danach nur noch im Rahmen der gesetzlichen Aufbewahrungsfristen auf (Abschnitt 12).
6. Verordnungen, APOLUH-App und Abrechnung mit Krankenkassen
Verschreibungspflichtige Arzneimittel und Medizinalcannabis geben wir nur gegen ärztliche Verordnung ab. Dabei verarbeiten wir die Daten Ihrer Verordnung: Name, Geburtsdatum, Anschrift, Krankenkasse und Versichertennummer, verordnetes Arzneimittel, Menge und Dosierung, Angaben zur verordnenden Praxis sowie ggf. Diagnose- und Genehmigungsdaten.
E-Rezept über die APOLUH-App: E-Rezepte lösen Sie über die APOLUH-App der Apotheke ein. Die App übermittelt den Rezept-Token an die Taunus-Apotheke; wir rufen die Verordnung über die Telematikinfrastruktur (TI) der gematik ab. Für die App gilt ergänzend die Datenschutzerklärung der APOLUH-App. Der Herbaluh-Shop selbst verarbeitet keine E-Rezept-Token.
Papierrezept: Übersenden Sie uns das Original per Post, verarbeiten wir die darauf enthaltenen Daten in unserer Warenwirtschaft und bewahren das Rezept nach den apothekenrechtlichen Vorgaben auf.
Zuordnung: Wir ordnen die Verordnung Ihrer Shop-Bestellung anhand Ihres Namens, Geburtsdatums und Ihrer E-Mail-Adresse zu.
Rücksprache mit der Arztpraxis: Soweit zur ordnungsgemäßen Belieferung erforderlich, nehmen wir Kontakt mit der verordnenden Praxis auf (§ 17 Abs. 5 ApBetrO).
Abrechnung: Bei Verordnungen zulasten der gesetzlichen Krankenversicherung übermitteln wir die Abrechnungsdaten an unser Apothekenrechenzentrum und über dieses an Ihre Krankenkasse (§ 300 SGB V). Bei Privatverordnungen erhalten Sie eine Rechnung zur Einreichung bei Ihrer Versicherung.
Rechtsgrundlagen: Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG, Art. 6 Abs. 1 lit. b und c DSGVO (ApBetrO, AMG, MedCanG, SGB V).
7. Zahlungsdienstleister
Je nach gewählter Zahlungsart geben wir die für die Zahlungsabwicklung erforderlichen Daten (Name, Rechnungsbetrag, Bestellnummer, ggf. Rechnungsanschrift und E-Mail-Adresse) an den jeweiligen Zahlungsdienstleister weiter. Angaben zu den bestellten Arzneimitteln werden nicht übermittelt.
Kreditkarte, Apple Pay und Google Pay: Die Zahlung wird über Adyen abgewickelt. Kartendaten werden ausschließlich beim Zahlungsanbieter verarbeitet; wir erhalten keine vollständigen Kartendaten. Bei Apple Pay (Apple Distribution International Ltd., Irland) und Google Pay (Google Ireland Ltd., Irland) gelten zusätzlich die Datenschutzhinweise von Apple bzw. Google, die Sie mit der Nutzung dieser Dienste akzeptiert haben.
Überweisung (Vorkasse): Sie überweisen auf unser Bankkonto; wir verarbeiten die Kontodaten des Zahlungseingangs zur Zuordnung.
Zahlung vor Ort oder bei Botenlieferung: Bei Barzahlung werden keine Daten an Dritte übermittelt; bei Kartenzahlung verarbeitet unser Kartenterminal-Anbieter die Zahlungsdaten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zahlungsbelege bewahren wir nach den handels- und steuerrechtlichen Vorschriften auf.
8. Versand und Botendienst
DHL-Versand (Standard und Express): Zur Zustellung übermitteln wir Ihren Namen, Ihre Lieferanschrift und – für Zustellbenachrichtigungen und die Identitäts-/Altersprüfung bei Übergabe – Ihre E-Mail-Adresse und Telefonnummer an die DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn. Der Inhalt der Sendung wird DHL nicht mitgeteilt; der Versand erfolgt in neutraler Verpackung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Übermittlung von E-Mail-Adresse und Telefonnummer zur Zustellankündigung stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (zuverlässige persönliche Übergabe von Arzneimitteln) bzw. Ihre Einwilligung, soweit Sie diese im Bestellprozess erteilen.
Botendienst der Apotheke: Innerhalb unseres Liefergebiets liefern eigene Mitarbeitende der Apotheke. Diese erhalten Namen, Anschrift und Telefonnummer sowie die Information, ob die Zahlung bei Übergabe erfolgt. Die Übergabe wird nach § 17 Abs. 2 ApBetrO dokumentiert.
Abholung: Bei Abholung in der Apotheke verarbeiten wir Ihre Daten nur intern zur Bereitstellung der Bestellung.
9. Kontaktaufnahme und pharmazeutische Beratung
Wenn Sie uns per E-Mail, Telefon oder über ein Kontaktformular im Shop kontaktieren, verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Inhalt der Anfrage) zur Bearbeitung Ihres Anliegens. Im Rahmen der pharmazeutischen Beratung können dabei Gesundheitsdaten anfallen (Vormedikation, Unverträglichkeiten, Beschwerden); diese dokumentieren wir, soweit es für eine sichere Arzneimittelversorgung erforderlich ist.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Beratung als Teil des Vertrags), Art. 6 Abs. 1 lit. c DSGVO (Beratungspflicht nach § 20 ApBetrO) und für Gesundheitsdaten Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG.
Für die Kontaktaufnahme über WhatsApp gilt ergänzend Abschnitt 10.
Bitte beachten Sie, dass unverschlüsselte E-Mails keine vertrauliche Übermittlung gewährleisten. Für sensible Angaben empfehlen wir das Telefon oder die APOLUH-App; WhatsApp ist hierfür nicht vorgesehen.
10. Kontakt über WhatsApp (Superchat)
Sie können uns auch über WhatsApp unter der Nummer [WhatsApp-Nummer eintragen] erreichen, z. B. für Fragen zu Ihrer Bestellung, zum Lieferstatus, zur Verfügbarkeit oder für Terminabsprachen. Die Nutzung von WhatsApp ist freiwillig; alle Anliegen können Sie ebenso per Telefon, E-Mail oder über die APOLUH-App klären. Wir schreiben Sie über WhatsApp nur an, wenn Sie uns zuvor selbst über WhatsApp kontaktiert oder in die Kontaktaufnahme über WhatsApp eingewilligt haben.
Verarbeitete Daten: Ihre Mobilfunknummer, Ihr WhatsApp-Profilname und ggf. Profilbild, Datum und Uhrzeit der Nachrichten, der Inhalt Ihrer Nachrichten einschließlich gesendeter Bilder, Dokumente und Sprachnachrichten sowie – soweit Sie diese nennen – Angaben zu Ihrer Bestellung.
Keine Rezepte und möglichst keine Gesundheitsdaten per WhatsApp: Verordnungen nehmen wir über WhatsApp nicht entgegen; hierfür gelten ausschließlich die in Abschnitt 6 beschriebenen Wege (APOLUH-App oder Papierrezept). Bitte senden Sie uns über WhatsApp keine Rezeptfotos und keine Angaben zu Diagnosen oder Beschwerden. Für eine pharmazeutische Beratung rufen wir Sie gern zurück. Teilen Sie uns über WhatsApp dennoch von sich aus Gesundheitsdaten mit, verarbeiten wir diese ausschließlich zur Bearbeitung Ihres Anliegens.
Superchat (Auftragsverarbeiter): Für den Empfang, die Bearbeitung und die Beantwortung von WhatsApp-Nachrichten nutzen wir die Messaging-Plattform Superchat der SuperX GmbH, Prenzlauer Allee 242–247, 10405 Berlin. Superchat führt eingehende Nachrichten in einem Postfach zusammen, auf das nur befugte Mitarbeitende der Apotheke zugreifen. Die Daten werden auf Servern in Deutschland gespeichert. Mit der SuperX GmbH haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.
[Optional, nur falls zutreffend: Einfache Anfragen (z. B. Öffnungszeiten, Begrüßung, Abwesenheitsnotiz) können automatisiert beantwortet werden; automatisierte Antworten sind als solche erkennbar. Eine pharmazeutische Beratung erfolgt ausschließlich durch pharmazeutisches Personal.]
WhatsApp / Meta: WhatsApp ist ein Dienst der WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, einem Unternehmen der Meta-Gruppe. Wir nutzen die WhatsApp Business Platform. Nachrichten werden auf dem Übertragungsweg verschlüsselt; anders als bei einem privaten WhatsApp-Chat werden sie jedoch an einem von Meta betriebenen Endpunkt entschlüsselt und an Superchat weitergeleitet. Meta verarbeitet die Nachrichten für die Zustellung in unserem Auftrag auf Grundlage der WhatsApp Business Datenverarbeitungsbedingungen. Daneben verarbeitet WhatsApp Nutzungs- und Metadaten (z. B. Telefonnummer, Zeitpunkt der Kommunikation, Geräteinformationen) in eigener Verantwortung; darauf haben wir keinen Einfluss. Näheres finden Sie in der Datenschutzrichtlinie von WhatsApp unter www.whatsapp.com/legal/privacy-policy-eea.
Drittlandübermittlung: Bei der Nutzung von WhatsApp können Daten an die WhatsApp LLC bzw. Meta Platforms, Inc. in den USA übermittelt werden. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework sowie auf Standardvertragsklauseln.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Nachricht eine Bestellung oder deren Anbahnung betrifft; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer schnellen Kommunikation über den von Ihnen gewählten Kanal). Soweit Sie uns über WhatsApp von sich aus Gesundheitsdaten mitteilen, erfolgt die Verarbeitung auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) sowie – soweit für die Arzneimittelversorgung erforderlich – nach Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Löschung: Chatverläufe löschen wir spätestens [12 Monate] nach dem letzten Kontakt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sie können die Löschung Ihres Chatverlaufs bei uns jederzeit verlangen. Nachrichten, die auf Ihrem eigenen Gerät gespeichert sind, löschen Sie bitte selbst.
11. Empfänger und Übermittlung in Drittländer
Ihre Daten erhalten nur die in dieser Erklärung genannten Empfänger: der Plattformbetreiber CannaFlow (Auftragsverarbeiter), Zahlungsdienstleister, DHL, unser Apothekenrechenzentrum, Ihre Krankenkasse, die verordnende Arztpraxis, bei Kontakt über WhatsApp die SuperX GmbH (Superchat, Auftragsverarbeiter) und WhatsApp/Meta sowie – im Rahmen gesetzlicher Pflichten – Aufsichtsbehörden (Hessisches Landesamt für Gesundheit und Pflege, BfArM) und Steuerbehörden. Innerhalb der Apotheke verarbeiten nur Mitarbeitende Ihre Daten, die zur Bearbeitung Ihrer Bestellung befugt und zur Verschwiegenheit verpflichtet sind.
Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet grundsätzlich nicht statt. Soweit bei Apple Pay oder Google Pay sowie bei der Nutzung von WhatsApp (Abschnitt 10) eine Verarbeitung in den USA erfolgen kann, stützt sich diese auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework bzw. auf Standardvertragsklauseln der jeweiligen Anbieter.
12. Speicherdauer
Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen dies verlangen:
Daten | Speicherdauer | Grundlage
Kundenkonto | bis zur Löschung durch Sie oder nach 3 Jahren Inaktivität | Art. 6 Abs. 1 lit. b DSGVO
Verordnungen und Abgabedokumentation | 3 Jahre nach Abgabe, bei Medizinalcannabis entsprechend den Vorgaben des MedCanG | § 22 ApBetrO, MedCanG
Bestell-, Rechnungs- und Zahlungsdaten | 10 Jahre | § 147 AO, § 257 HGB
Abrechnungsdaten GKV | gemäß Vorgaben der Krankenkassen und des Rechenzentrums | § 300 SGB V
Anfragen per E-Mail/Telefon | bis zur abschließenden Bearbeitung, bei Beratungsdokumentation wie Abgabedokumentation | Art. 6 Abs. 1 lit. b/c DSGVO
WhatsApp-Chatverläufe (Superchat) | spätestens [12 Monate] nach dem letzten Kontakt oder auf Ihr Verlangen früher | Art. 6 Abs. 1 lit. b/f DSGVO
Nach Ablauf der Fristen werden die Daten gelöscht oder anonymisiert.
13. Ihre Rechte
Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung, soweit keine Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Zur Ausübung Ihrer Rechte wenden Sie sich an die in Abschnitt 1 genannten Kontaktdaten. Bitte beachten Sie, dass wir Verordnungs- und Abgabedaten aufgrund gesetzlicher Pflichten auch bei einem Löschwunsch bis zum Ablauf der Aufbewahrungsfristen speichern müssen.
Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für uns ist:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit Gustav-Stresemann-Ring 1, 65189 Wiesbaden E-Mail: poststelle@datenschutz.hessen.de Web: www.datenschutz.hessen.de
14. Datensicherheit und Änderungen dieser Erklärung
Die Website und die Übermittlung Ihrer Daten sind per TLS (https) verschlüsselt. Wir und unsere Auftragsverarbeiter treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen. Gesundheitsdaten sind nur dem pharmazeutischen Personal zugänglich.
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils im Shop veröffentlichte Fassung.
Stand: November 2026
Zur Verwaltung und Abwicklung der Rezeptübermittlung, Arzneimittelreservierung, Patientenkommunikation sowie der Einhaltung gesetzlicher Dokumentationspflichten nutzt unsere Apotheke die Softwarelösung cannaflow der:
cannaflow GmbH
Kantstr. 24
10623 Berlin
E-Mail: privacy@cannaflow.de
www.cannaflow.de
Die cannaflow GmbH stellt dabei ausschließlich die technische Infrastruktur zur Verfügung und verarbeitet personenbezogene Daten im Auftrag und auf Weisung unserer Apotheke gemäß Art. 28 DSGVO.
Zu diesem Zweck haben wir mit der cannaflow GmbH einen Vertrag zur Auftragsverarbeitung (AVV) geschlossen. Dieser datenschutzrechtlich erforderliche Vertrag gewährleistet, dass die Datenverarbeitung unter strenger Beachtung der Datenschutz-Grundverordnung (DSGVO) erfolgt und keine eigenständige Zweckbindung durch cannaflow erfolgt.
Die Datenschutzhinweise der cannaflow GmbH können Sie unter folgendem Link einsehen:
https://www.cannaflow.de/datenschutz
Die cannaflow GmbH hat zudem einen externen Datenschutzbeauftragten bestellt:
Rechtsanwalt Marcel Wetzel
Theodor-Heuss-Platz 4
14052 Berlin
E-Mail: mail@wetzel.berlin
Tel.: +49 30 895 66 160
www.wetzel.berlin
Die Nutzung der Software erfolgt im Interesse einer sicheren, datenschutzkonformen und effizienten Abwicklung von Rezeptdaten, Arzneimittelreservierungen und Apothekenprozessen (Art. 6 Abs. 1 lit. f) DSGVO) sowie zur Durchführung des Vertragsverhältnisses mit den Patienten (Art. 6 Abs. 1 lit. b) DSGVO). Soweit erforderlich, erfolgt eine Verarbeitung auf Grundlage einer Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO i.V.m. § 25 Abs. 1 TDDDG.
