Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:

Palmen Apotheke-Brückenhof, Inh. Dennis Witt e.K.
Heinrich-Plett-Str. 69, 34132 Kassel
Telefon: 0561 8708600
E-Mail: info@palmenapo.de

Weitere Angaben finden Sie im Impressum.

2. Allgemeine Hinweise

Wir sind eine Apotheke. Ein Teil unserer Tätigkeit besteht darin, Menschen bei ihrer gesundheitlichen Versorgung zu unterstützen — dazu gehört zwangsläufig gelegentlich auch die Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO), etwa wenn Sie uns telefonisch oder persönlich Angaben zu Medikamenten mitteilen. Diese Erklärung beschreibt ausschließlich die tatsächliche technische Verarbeitung auf der öffentlichen Website palmenapo.de.

Der von uns empfohlene Weg für ein E-Rezept ist der Dienst „Mein E-Rezept” von WEPA (Punkt 12); dabei wird das Rezept nicht über diese Website übertragen. Daneben können Sie über das Vorbestellformular dieser Website Fotos hochladen, etwa von einer Verordnung, und im Freitext Arzneimittel benennen. Was dabei geschieht, steht in den Punkten 7 bis 9.

3. Hosting

Diese Website wird technisch über Cloudflare Workers mit Static Assets ausgeliefert. Dabei verarbeitet Cloudflare als unser Auftragsverarbeiter serverseitig übliche Verbindungsdaten (siehe Punkt 4), wie es für die sichere und zuverlässige Auslieferung einer Website erforderlich ist. Cloudflare, Inc. ist ein US-amerikanisches Unternehmen; zu Drittlandübermittlungen siehe Punkt 19.

4. Technische Server- und Sicherheitsdaten

Bei jedem Aufruf dieser Website verarbeitet Cloudflare in unserem Auftrag automatisch technische Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite sowie Browser-/Geräteinformationen. Diese Daten dienen der Auslieferung der Website sowie der Erkennung und Abwehr von Angriffen und werden nicht mit anderen Datenquellen zusammengeführt. Der von uns eingesetzte Programmcode protokolliert dabei zu keinem Zeitpunkt Formularinhalte, Rezeptinformationen, Medikamentennamen, Diagnosen oder sonstige Gesundheitsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website).

5. Cookies und vergleichbare Technologien

Diese Website setzt keine Cookies und verwendet auch keinen LocalStorage, SessionStorage oder vergleichbaren Speicher im Browser. Es findet keine Wiedererkennung von Besucherinnen und Besuchern über mehrere Aufrufe hinweg statt. Eine Einwilligung nach § 25 TDDDG ist dafür nicht erforderlich, weil kein Zugriff auf Endgeräte-Informationen stattfindet.

6. Kontaktaufnahme per Telefon, Fax oder E-Mail

Wenn Sie uns telefonisch, per Fax oder per E-Mail kontaktieren, verarbeiten wir die dabei von Ihnen mitgeteilten Daten (insbesondere Name, Kontaktdaten und Inhalt Ihrer Anfrage), um Ihr Anliegen zu bearbeiten. Fax und unverschlüsselte E-Mail sind technisch keine Ende-zu-Ende-verschlüsselten Kanäle; wenn Sie uns darüber Gesundheitsdaten mitteilen, zum Beispiel Medikamentennamen im Rahmen einer Vorbestellung, geschieht dies auf Ihre eigene Veranlassung.

Rechtsgrundlage ist, soweit Ihre Anfrage im Zusammenhang mit einer Bestellung oder einem vergleichbaren Vertrag steht, Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage). Enthält Ihre Mitteilung Gesundheitsdaten, verarbeiten wir diese zusätzlich auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO, soweit dies für Ihre pharmazeutische Versorgung erforderlich ist.

7. Formulare auf dieser Website

Auf dieser Website können Sie uns über vier Formulare erreichen. Die Nutzung ist freiwillig — Sie können uns jedes dieser Anliegen ebenso telefonisch mitteilen oder persönlich in der Apotheke besprechen.

Vorbestellformular auf /vorbestellen/. Erhoben werden: Ihr Name, eine Telefonnummer für Rückfragen, auf Wunsch Ihre E-Mail-Adresse, Ihre Angabe dazu, was Sie vorbestellen möchten (ein Freitextfeld, in dem üblicherweise Arzneimittel benannt werden), die Auswahl zwischen Abholung und Botendienst sowie bis zu drei Fotos, zum Beispiel einer Verordnung. Jedes Foto darf höchstens zwei Megabyte groß sein, alle zusammen höchstens sechs Megabyte.

Kontaktformular auf /kontakt/. Erhoben werden: Ihr Name, Ihre E-Mail-Adresse, auf Wunsch eine Telefonnummer, der von Ihnen gewünschte Rückweg sowie der Text Ihrer Nachricht.

Rückrufformular auf /kontakt/ und auf einzelnen Leistungsseiten. Erhoben werden: Ihr Anliegen (auf einer Leistungsseite ist es durch die Seite vorgegeben, etwa „Inkontinenzversorgung”), Ihr Name, Ihre Telefonnummer, die Angabe, wann wir Sie am besten erreichen, sowie auf Wunsch eine kurze Anmerkung.

Auf einzelnen Leistungsseiten — derzeit /rezepturen/, /inkontinenzversorgung/, /haemophilie/ und /wundversorgung/ — können Sie dem Rückrufformular außerdem bis zu drei Fotos beifügen, zum Beispiel von einer ärztlichen Verordnung. Auch das ist freiwillig; es gelten dieselben Grenzen und dieselbe Verarbeitung wie beim Vorbestellformular. Auf den übrigen Seiten gibt es diese Möglichkeit nicht.

Partnerformular auf /fuer-aerzte-und-pflegedienste/. Dieses Formular richtet sich an Arztpraxen, Pflegedienste und andere Einrichtungen, nicht an Patientinnen und Patienten. Erhoben werden: die Art Ihrer Einrichtung, ihr Name, auf Wunsch eine Ansprechpartnerin oder ein Ansprechpartner, eine Telefonnummer und/oder eine E-Mail-Adresse, Ihre Angaben dazu, wie und wann wir Sie erreichen, sowie der Text Ihrer Anfrage. Erforderlich sind die Art der Einrichtung, ihr Name und mindestens eine Erreichbarkeit; alles Weitere ist freiwillig. Fotos können hier nicht beigefügt werden.

Bei den drei erstgenannten Formularen gilt: Ohne Namen und ohne eine Rückrufmöglichkeit können wir Ihr Anliegen nicht bearbeiten; alle übrigen Angaben sind freiwillig.

Rechtsgrundlage für die Vorbestellung ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und des Vertrags). Für das Kontakt-, das Rückruf- und das Partnerformular ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage). Soweit Ihre Angaben Gesundheitsdaten enthalten, gilt zusätzlich Punkt 8. Beim Partnerformular ist das nicht vorgesehen: Es erhebt betriebliche Kontaktdaten einer Einrichtung und keine Angaben zu einzelnen Patientinnen oder Patienten.

Um missbräuchliche Massensendungen abzuwehren, enthalten die Formulare ein für Sie unsichtbares Feld, das nur von automatisierten Programmen ausgefüllt wird, und wir begrenzen die Anzahl der Sendungen je Internetanschluss. Dafür speichern wir nicht Ihre IP-Adresse, sondern ausschließlich einen gekürzten Hashwert daraus, der automatisch nach spätestens 24 Stunden gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Kontaktweg).

8. Gesundheitsdaten in Formularangaben und Rezeptfotos

Sobald Sie in einem Formular ein Arzneimittel benennen, ein Foto einer Verordnung hochladen oder Ihre Nachricht Rückschlüsse auf Ihren Gesundheitszustand zulässt, verarbeiten wir Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO. Das ist beim Vorbestellformular der Regelfall und gilt seit dem 20.09.2026 ebenso für das Rückrufformular auf den oben genannten Leistungsseiten, weil Sie dort ein Foto Ihrer Verordnung beifügen können. Auch beim Kontaktformular kann es vorkommen.

Rechtsgrundlage dafür ist Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit Art. 9 Abs. 3 DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG: Die Verarbeitung dient Ihrer Arzneimittelversorgung und erfolgt durch Apothekerinnen und Apotheker beziehungsweise unter deren Verantwortung; sie unterliegen dem Berufsgeheimnis nach § 203 StGB.

Sie müssen diese Angaben nicht über ein Formular machen. Wenn Sie das nicht möchten, rufen Sie uns an oder kommen Sie in die Apotheke — der Weg über das Formular ist ein Angebot, keine Voraussetzung.

Zwei technische Hinweise, damit Sie einschätzen können, was geschieht: Die Übertragung Ihrer Angaben von Ihrem Gerät zu uns ist über HTTPS verschlüsselt. Der anschließende Weg als E-Mail bis in unser Postfach ist jedoch kein Ende-zu-Ende-verschlüsselter Kanal (siehe Punkt 9). Ihre Fotos werden bereits in Ihrem Browser verkleinert, bevor sie uns erreichen; dabei entfallen die in Kameradateien üblicherweise enthaltenen Zusatzinformationen wie Aufnahmeort und Aufnahmezeit, und der ursprüngliche Dateiname wird durch einen neutralen ersetzt.

9. Versand und Zustellung der Formularnachrichten

Was Sie in ein Formular eintragen, senden wir als E-Mail an ein Postfach der Apotheke. Auf diesem Weg sind drei Dienstleister beteiligt. Jeder von ihnen kann dabei den vollständigen Inhalt Ihrer Nachricht einschließlich der Anhänge zur Kenntnis nehmen:

Brevo versendet die Nachricht in unserem Auftrag. Vertragspartner für Kundinnen und Kunden in Deutschland ist die Brevo GmbH, Köpenicker Str. 126, 10179 Berlin (Amtsgericht Charlottenburg, HRB 133191); sie gehört zur französischen Sendinblue SAS mit Sitz in Paris. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen von Brevo. Zur Verarbeitung außerhalb der EU siehe Punkt 19.
IONOS SE, Montabaur, betreibt die E-Mail-Weiterleitung für unsere Apothekenadresse. Beim Weiterleiten läuft die vollständige Nachricht über die Systeme von IONOS.
Google betreibt mit Google Workspace das Postfach, in dem die Nachricht ankommt und liegen bleibt, bis wir sie löschen. Vertragspartner für Kundinnen und Kunden im Europäischen Wirtschaftsraum ist die Google Ireland Limited, Dublin; die Konzernmutter Google LLC hat ihren Sitz in den USA.

Haben Sie im Vorbestell-, im Kontakt- oder im Partnerformular eine E-Mail-Adresse angegeben, setzen wir diese als Antwortadresse der Nachricht, damit wir Ihnen unmittelbar antworten können. Das Rückrufformular erhebt bewusst keine E-Mail-Adresse; auf einen Rückrufwunsch antworten wir per Telefon.

Fotos, die Sie einem Formular beifügen, gehen denselben Weg: Sie hängen an derselben E-Mail und sind damit für alle drei genannten Dienstleister sichtbar.

Zur Speicherdauer siehe Punkt 20.

10. WhatsApp

Wir bieten WhatsApp als zusätzlichen, freiwilligen Kontaktweg an. Dies geschieht ausschließlich über einen einfachen externen Link (wa.me), ohne eingebettetes Skript oder Widget. Beim normalen Aufruf dieser Website entsteht keine Verbindung zu WhatsApp oder Meta. Erst wenn Sie den Link anklicken, öffnet sich WhatsApp mit Ihrer Telefonnummer und gegebenenfalls einem vorausgefüllten Nachrichtentext; dabei werden Ihre Telefonnummer sowie der Inhalt Ihrer Nachricht von WhatsApp Ireland Ltd. bzw. der Meta-Unternehmensgruppe eigenständig und außerhalb unseres Einflussbereichs verarbeitet. Es gelten die Datenschutzbestimmungen von WhatsApp/Meta. Rechtsgrundlage ist Ihr Klick auf den Link (Art. 6 Abs. 1 lit. a DSGVO), im Übrigen Art. 6 Abs. 1 lit. b bzw. f DSGVO für die Bearbeitung Ihres Anliegens.

11. KIM (Kommunikation im Medizinwesen)

Sofern auf dieser Website eine KIM-Adresse angezeigt wird, dient diese ausschließlich der professionellen, verschlüsselten Kommunikation zwischen Leistungserbringern im Gesundheitswesen, zum Beispiel Arztpraxen, nicht der Kommunikation mit Privatkunden. Die reine Anzeige der Adresse als Text verarbeitet keine personenbezogenen Daten von Website-Besucherinnen und -Besuchern.

12. E-Rezept über WEPA „Mein E-Rezept”

Zum Einlösen eines E-Rezepts verlinken wir auf den Dienst „Mein E-Rezept” der WEPA Apothekenbedarf GmbH & Co KG. Eine Datenübertragung an WEPA findet erst statt, wenn Sie diesen Link anklicken; beim normalen Aufruf unserer Seiten besteht keine Verbindung zu WEPA. Sobald Sie den Link öffnen, verlassen Sie palmenapo.de, und es gelten die Datenschutzbestimmungen von WEPA, auf deren Inhalt wir keinen Einfluss haben.

13. Unsere Apotheken-App (App Store / Google Play)

Auf /e-rezept/ verlinken wir auf die App „Mein E-Rezept” der Apozin GmbH sowie auf deren Seiten im App Store (Apple Inc.) und bei Google Play (Google LLC). Beim normalen Aufruf unserer Seiten besteht keine Verbindung zu Apple, Google oder Apozin; eine Datenübertragung findet erst statt, wenn Sie einen dieser Links anklicken. Der dort dargestellte QR-Code führt zum selben Link wie die Schaltflächen und wird ausschließlich lokal aus diesem Link erzeugt, ohne einen weiteren Dienst einzubinden. Nach dem Anklicken gelten die jeweiligen Datenschutzbestimmungen von Apple, Google bzw. Apozin, auf deren Inhalt wir keinen Einfluss haben.

14. Standortfunktion auf der Notdienstseite

Auf /notdienst/ können Sie freiwillig die Standortabfrage Ihres Browsers nutzen, um die angezeigten Notdienstapotheken nach Entfernung zu sortieren. Ihre Koordinaten werden dabei ausschließlich lokal in Ihrem Browser verarbeitet, um die Entfernung zu berechnen; sie werden zu keinem Zeitpunkt an uns oder Dritte übertragen oder gespeichert. Die Seite ist vollständig nutzbar, auch wenn Sie die Standortabfrage nicht zulassen — die Liste der Notdienstapotheken erscheint dann unsortiert. Rechtsgrundlage ist Ihre Einwilligung über den Berechtigungsdialog Ihres Browsers (Art. 6 Abs. 1 lit. a DSGVO).

15. Bereitstellung der Notdienstdaten

Die Liste der aktuell diensthabenden Apotheken rufen wir serverseitig über einen Cloudflare Worker von der Datenquelle s:berg ab. Bei diesem Abruf werden keine Daten von Ihnen als Website-Besucherin bzw. -Besucher — insbesondere keine IP-Adresse, keine Standortdaten und keine Kennungen — an die Datenquelle weitergegeben. Rechtsgrundlage für den Betrieb dieser Funktion ist Art. 6 Abs. 1 lit. f DSGVO.

16. Routenplanung über Google Maps

Wo wir eine Route zu unserer Apotheke anbieten, verlinken wir auf Google Maps über einen einfachen externen Link, ohne eingebettete Karte. Beim normalen Aufruf unserer Seiten besteht keine Verbindung zu Google; erst wenn Sie den Link anklicken, verarbeitet Google LLC Ihre Anfrage eigenständig nach den Datenschutzbestimmungen von Google.

17. Externe Links und Dienste

Diese Website verlinkt an mehreren Stellen auf externe Angebote, insbesondere auf cannaxpress.de sowie auf amtliche Quellen (Gesetzestexte, Aufsichtsbehörde, Kammer). cannaXpress ist keine fremde Apotheke, sondern eine Marke unseres eigenen Unternehmens für unseren Kompetenzbereich Medizinalcannabis. Bei all diesen Links entsteht eine Verbindung zum jeweiligen Anbieter erst, wenn Sie den Link anklicken; für den Inhalt und die Datenverarbeitung der verlinkten Seiten sind die jeweiligen Anbieter selbst verantwortlich.

18. Empfänger und Auftragsverarbeiter

Neben uns selbst erhält Cloudflare, Inc. als Hosting-Auftragsverarbeiter Kenntnis von technischen Verbindungsdaten (Punkt 4). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Senden Sie uns ein Formular, kommen die in Punkt 9 genannten Dienstleister hinzu: die Brevo GmbH für den Versand, die IONOS SE für die Weiterleitung und Google für das Postfach. Sie alle können den vollständigen Inhalt Ihrer Nachricht einschließlich der Fotos zur Kenntnis nehmen und verarbeiten damit auch Gesundheitsdaten (Punkt 8). Sie handeln als Auftragsverarbeiter für uns.

Weitere Empfänger bestehen nur dort, wo Sie selbst eine Verbindung zu einem externen Dienst herstellen (WhatsApp/Meta, WEPA, Apple, Google, Apozin) — siehe die jeweiligen Abschnitte oben.

19. Übermittlung in Drittländer

Cloudflare, Inc., Apple Inc., Google LLC sowie die Meta-Unternehmensgruppe sind US-amerikanische Unternehmen bzw. Konzerne. Soweit dabei Daten in die USA oder andere Drittländer übermittelt werden, geschieht dies auf Grundlage der jeweils anwendbaren Garantien des jeweiligen Anbieters (zum Beispiel EU-Standardvertragsklauseln bzw. ein Angemessenheitsbeschluss). Auf die Ausgestaltung dieser Garantien bei WhatsApp/Meta, Apple und Google haben wir keinen Einfluss, da die Datenübermittlung dorthin erst durch Ihren eigenen Klick auf einen externen Link ausgelöst wird.

Für den Versand der Formularnachrichten (Punkt 9) gilt dies gesondert: Brevo behält sich im Auftragsverarbeitungsvertrag vor, Daten auch außerhalb des Europäischen Wirtschaftsraums zu verarbeiten, soweit Brevo selbst, Konzerngesellschaften oder Unterauftragsverarbeiter dort tätig sind. Zur Unternehmensgruppe gehören unter anderem Gesellschaften in den USA und in Indien. Brevo sichert solche Übermittlungen nach eigenen Angaben durch EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen ab und stützt Übermittlungen in die USA zusätzlich auf das EU-US Data Privacy Framework, solange dieses gilt. Weil über diesen Weg auch Gesundheitsdaten laufen können (Punkt 8), weisen wir ausdrücklich darauf hin.

20. Speicherdauer

Technische Verbindungsdaten (Punkt 4) werden von Cloudflare nur so lange gespeichert, wie es für den sicheren Betrieb der Website erforderlich ist. Inhalte einer telefonischen, per Fax oder per E-Mail gestellten Anfrage (Punkt 6) speichern wir nur so lange, wie es zur Bearbeitung Ihres Anliegens erforderlich ist, danach löschen wir sie im Rahmen der üblichen Löschroutinen bzw. gesetzlicher Aufbewahrungspflichten.

Nachrichten aus den Formularen (Punkte 7 bis 9) liegen nach dem Versand in unserem Postfach — mit allen Angaben, die Sie gemacht haben, und mit den Fotos im Anhang. Wir löschen sie, sobald sie für die Bearbeitung Ihres Anliegens nicht mehr erforderlich sind und keine gesetzliche Aufbewahrungspflicht entgegensteht. Bei einer Bestellung ist das spätestens 30 Tage nach der Abholung der Fall; danach löschen wir die Nachricht samt der Fotos im Anhang. Unabhängig davon können Sie die Löschung jederzeit nach Punkt 21 verlangen. Über den Versand selbst führt Brevo technische Protokolle; deren Aufbewahrung richtet sich nach dem mit Brevo geschlossenen Auftragsverarbeitungsvertrag.

Den gekürzten Hashwert der IP-Adresse aus dem Missbrauchsschutz (Punkt 7) löschen wir automatisch nach spätestens 24 Stunden.

21. Ihre Rechte

Sie haben nach der Datenschutz-Grundverordnung das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Wenden Sie sich dazu an die in Punkt 1 genannte Verantwortliche Stelle.

22. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Wilhelmstraße 7, 65185 Wiesbaden
Telefon: 0611-1408 0
E-Mail: poststelle@datenschutz.hessen.de

23. Verschlüsselung

Diese Website wird ausschließlich verschlüsselt über HTTPS ausgeliefert.

24. Automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein.

Stand: September 2026