Datenschutzerklärung

1. Verantwortliche Stelle
Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten im Rahmen von Doc Loopi (Website www.docloopi.com, Hamstring Surgery Clarity Audit, allgemeiner orthopädischer Online-Zweitmeinungs-Call – medizinisch, allgemeiner Online-Support-Call – nicht-medizinisch, Hamstring Recovery Roadmap Call etc.) ist Dr. Luise Weinrich, Ordination: Brunnbachweg 71, 5303 Thalgau, Österreich, E-Mail: [email protected]. Dr. Weinrich ist Ärztin, Mitglied der Ärztekammer für Salzburg und unterliegt der ärztlichen Verschwiegenheitspflicht gemäß § 54 Ärztegesetz 1998 (ÄrzteG) – Ihre Gesundheitsdaten werden also stets vertraulich behandelt.
2. Zwecke und Umfang der Datenverarbeitung
Wir erheben und verarbeiten personenbezogene Daten ausschließlich, um Ihnen unsere Dienstleistungen bereitzustellen und gesetzlichen Verpflichtungen nachzukommen. Je nach Nutzung können folgende Datenkategorien verarbeitet werden:
• Stammdaten: Name, Kontaktdaten (E-Mail, Telefonnummer), Geburtsdatum, Adresse (falls für Rechnungen erforderlich).
• Gesundheitsdaten: Angaben zu Ihrer Gesundheit und Vorgeschichte, hochgeladene medizinische Dokumente (z.B. MRT-Berichte, Arztbriefe), Videos von Bewegungsanalysen, Antworten auf medizinische Fragebögen (etwa im Rahmen des Clarity Audits oder der Zweitmeinungs-Calls). Diese Daten gehören zu den besonders geschützten Kategorien (Art. 9 DSGVO) und werden von uns nur zweckgebunden für Ihre Beratung/Behandlung verwendet.
• Nutzungs- und Kommunikationsdaten: E-Mails oder Nachrichten, die Sie uns senden, Terminvereinbarungen (Kalendereinträge), Log-In-Informationen für evtl. Online-Plattformen (z.B. Community-Forum).
• Zahlungsinformationen: Bei kostenpflichtigen Angeboten verarbeiten unsere Zahlungsdienstleister Daten wie Rechnungsbetrag, gewählte Zahlungsmethode und Transaktionsnummer. Zahlungsrelevante Daten (z.B. Kreditkartennummer) werden direkt vom jeweiligen Zahlungsanbieter erhoben; wir selbst speichern keine vollständigen Zahlungsinformationen außer den notwendigen Zahlungsbestätigungen.
3. Rechtsgrundlagen der Verarbeitung
Die Verarbeitung Ihrer Daten erfolgt im Einklang mit der EU-Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG). Konkret stützen wir uns auf folgende Rechtsgrundlagen:
• Erfüllung eines Vertrags / vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO): Wenn Sie unsere Dienstleistungen (z.B. Zweitmeinung, Support-Call) in Anspruch nehmen, ist die Verarbeitung vieler Daten zur Vertragserfüllung notwendig – etwa um Ihre Anfrage zu bearbeiten, den Videotermin durchzuführen, den Bericht zu erstellen oder Ihnen Zugang zu Online-Inhalten zu geben.
• Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. Art. 9 Abs. 2 lit. a DSGVO): Für die Verarbeitung Ihrer Gesundheitsdaten (z.B. medizinischer Befunde) benötigen wir Ihre ausdrückliche Einwilligung, da es sich um sensible Daten handelt. Diese Einwilligung holen wir über ein Ankreuzfeld (Checkbox) zu Beginn des Online-Intake-Formulars ein; Zeitpunkt und Inhalt Ihrer Einwilligung werden dabei dokumentiert. Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (siehe Punkt 7 zu Ihren Rechten). Bitte beachten Sie: Ein Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung bis zu diesem Zeitpunkt und kann dazu führen, dass wir eine begonnene Beratung abbrechen müssen, wenn uns die notwendigen Daten dann nicht mehr zur Verfügung stehen.
• Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Als Ärztin ist Dr. Weinrich gemäß § 51 ÄrzteG verpflichtet, bestimmte Daten zu dokumentieren (Patientenakte) und aufzubewahren. Zudem unterliegen wir steuerrechtlichen Aufbewahrungspflichten (z.B. Buchhaltungs- und Rechnungsdaten für 7 Jahre gemäß § 132 BAO). Solche gesetzlichen Vorgaben stellen ebenfalls eine Rechtsgrundlage dar.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): In Einzelfällen verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses, sofern Ihre Grundrechte dem nicht entgegenstehen. Beispiele: Die begrenzte Speicherung von technischen Logs zur Sicherstellung der IT-Sicherheit, oder die Verwendung Ihrer E-Mail-Adresse, um Ihnen im Nachgang der Beratung wichtige Informationen zu senden. In jedem Fall achten wir darauf, dass ein angemessener Ausgleich zwischen unseren Interessen und Ihren Datenschutzrechten besteht.
Besonderer Hinweis: Gesundheitsdaten können neben Ihrer Einwilligung auch nach Art. 9 Abs. 2 lit. h i.V.m. Abs. 3 DSGVO verarbeitet werden (Verarbeitung für Zwecke der Gesundheitsvorsorge und medizinischen Beratung durch Fachpersonal, das einer gesetzlichen Geheimhaltungspflicht unterliegt). Dr. Weinrich unterliegt als Ärztin einer solchen Pflicht (§ 54 ÄrzteG). Soweit möglich, stützen wir uns auf diese Grundlage – Ihre ausdrückliche Einwilligung holen wir dennoch zu Transparenzzwecken zusätzlich ein.
4. Weitergabe von Daten / Empfänger
Eine Weitergabe Ihrer personenbezogenen Daten an Dritte erfolgt grundsätzlich nicht, außer sie ist zur Erfüllung unseres Angebots erforderlich, gesetzlich vorgeschrieben oder von Ihnen ausdrücklich gewünscht. In der Praxis können folgende Empfänger auftreten:
• Intern: Dr. Weinrich ist alleinige behandelnde Ärztin und Betreiberin von Doc Loopi. Es gibt keine externen Angestellten, die auf Ihre Gesundheitsdaten zugreifen. Alle internen Verarbeitungen (Sichtung Ihrer Befunde, Verfassen des Berichts etc.) erfolgen durch Dr. Weinrich persönlich. Sollte in Zukunft mit Assistentinnen oder weiteren Fachleuten zusammengearbeitet werden, würde dies nur mit Vertraulichkeitsvereinbarung und entsprechender Information an Sie geschehen.
• Auftragsverarbeiter: Wir bedienen uns sorgfältig ausgewählter externer Dienstleister, die in unserem Auftrag Daten verarbeiten (Auftragsverarbeitung gemäß Art. 28 DSGVO). Diese Dienstleister erhalten nur die Daten, die sie zur Erfüllung ihrer jeweiligen Aufgabe benötigen, und sind vertraglich zur Einhaltung des Datenschutzes verpflichtet. Konkret nutzen wir:
o Google Workspace (inkl. Google Forms, Drive, Calendar, Meet) – für E-Mail-Kommunikation, Terminplanung sowie zum Bereitstellen von Formularen und Speichern Ihrer hochgeladenen Unterlagen. Die Google-Dienste werden EU-rechenzentrumsbasiert bereitgestellt (Google Ireland Ltd.); wir haben mit Google einen Auftragsverarbeitungsvertrag einschließlich EU-Standarddatenschutzklauseln abgeschlossen. Beachten Sie: Wenn Sie ein Formular ausfüllen, werden Ihre Eingaben über eine verschlüsselte Verbindung an Google übermittelt und dort für uns abrufbar gespeichert.
o Stripe Payments Europe – für die Abwicklung von Kreditkartenzahlungen. Stripe verarbeitet Zahlungsdaten (z.B. Kartennummer, Karteninhaber, Betrag, Datum) als eigenständiger Dienstleister. Wir erhalten von Stripe lediglich Informationen über den Zahlungsstatus (erfolgreich/fehlgeschlagen) und grundlegende Transaktionsdetails. Stripe ist in der EU (Irland) ansässig; ggf. erfolgt eine Datenübermittlung an die US-Muttergesellschaft unter Einhaltung der DSGVO (Standardvertragsklauseln).
o PayPal (Europe) S.à r.l. – falls Sie PayPal wählen, gelten die Datenschutzrichtlinien von PayPal. Wir erhalten von PayPal Ihren Namen, Ihre E-Mail-Adresse und die Bestätigung der Zahlung.
o Videokonferenz-Anbieter: Unsere Videogespräche laufen in der Regel über Google Meet (Teil von Google Workspace). Ihre Audio-/Video-Daten werden verschlüsselt übertragen; es erfolgt keine Aufzeichnung ohne Ihr Einverständnis. Alternativ kann in Einzelfällen ein anderer DSGVO-konformer Videodienst zum Einsatz kommen, den wir Ihnen dann mitteilen (z.B. Zoom mit EU-Rechenzentrum).
o Website-Hosting: Unsere Website wird bei Carrd Inc. (USA) gehostet; für die technische Auslieferung und Absicherung der Website wird zudem Cloudflare, Inc. (USA) eingesetzt. Beim Aufruf der Website werden dabei technisch notwendige Daten (z.B. IP-Adresse, Zeitpunkt des Zugriffs, Browsertyp) verarbeitet, um die Website sicher und stabil bereitzustellen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Die Datenübermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
• Gesetzlich vorgeschriebene Weitergaben: In seltenen Fällen sind wir gesetzlich verpflichtet, Daten an Dritte weiterzugeben, etwa an Gesundheitsbehörden, Gerichte oder Strafverfolgungsbehörden, z.B. bei meldepflichtigen Krankheiten nach dem Epidemiegesetz oder auf gerichtliche Anordnung. Solche Fälle sind sehr selten. Wo möglich, werden wir Sie vorher informieren. Falls Sie bei Ihrer Krankenversicherung eine (Teil-)Kostenrückerstattung beantragen, kann es nötig sein, Daten (z.B. die Honorarnote) an diese zu übermitteln. Dies erfolgt dann aber durch Sie selbst oder auf Ihren Wunsch.
• Keine unbefugte Weitergabe: Weder verkaufen wir Ihre Daten, noch geben wir sie zu Marketingzwecken an Dritte weiter. Wir versenden keine Newsletter, außer Sie haben dem ausdrücklich zugestimmt.
5. Drittlandtransfers
Wir sind bemüht, Ihre Daten möglichst in Österreich bzw. der EU zu verarbeiten. Alle Hauptsysteme (E-Mail, Cloudspeicher, Bezahlabwicklung) haben EU-Standorte. Dennoch kann es technisch bedingt zu Datenübermittlungen in Drittländer kommen: Beispielsweise haben US-Anbieter wie Google, Carrd oder Cloudflare aus administrativen Gründen Zugriffsmöglichkeiten auf Daten, oder Dr. Weinrich greift während eines Auslandsaufenthalts auf Ihre Daten zu. In solchen Fällen stellen wir sicher, dass angemessene Schutzmaßnahmen greifen (insbesondere EU-Standardvertragsklauseln und zusätzliche Verschlüsselung). Wichtig: Wenn Sie nicht aus Österreich kommen, erklären Sie sich durch die Nutzung unserer Dienste mit einer etwaigen Übermittlung Ihrer Daten in Nicht-EU-Länder einverstanden, soweit dies zur Vertragserfüllung erforderlich ist. Unsere Verträge mit Auftragsverarbeitern gewährleisten ein Datenschutzniveau entsprechend der DSGVO. Bei Fragen zu konkreten Transfermechanismen können Sie uns gern kontaktieren.
6. Speicherdauer
Wir speichern personenbezogene Daten nicht länger als notwendig. Konkret gelten folgende Aufbewahrungsfristen:
• Medizinische Unterlagen (Behandlungsdokumentation): mindestens 10 Jahre gemäß § 51 ÄrzteG. In bestimmten Fällen (z.B. Verdacht auf Behandlungsfehler, relevante Vorerkrankungen) kann eine längere Aufbewahrung sinnvoll sein. Sie haben das Recht, nach Ablauf der gesetzlichen Frist die Löschung Ihrer Krankenunterlagen zu verlangen, soweit keine anderen Aufbewahrungspflichten entgegenstehen.
• Vertrags- und Abrechnungsdaten: Rechnungen, Buchungsbelege und Zahlungsnachweise bewahren wir aufgrund steuerlicher Vorgaben 7 Jahre auf (§ 132 BAO).
• Kommunikation: E-Mails oder Textnachrichten, die im Rahmen der Beratung ausgetauscht wurden, können Teil der Patientenakte sein und unterliegen dann ebenfalls der 10-Jahres-Frist. Reine organisatorische Kommunikation ohne Bezug zur medizinischen Beratung löschen wir in der Regel früher, wenn sie nicht mehr benötigt wird.
• Account-Daten (Community): Sollten Sie ein Konto in einer unserer Online-Communitys haben und dieses kündigen oder längere Zeit inaktiv sein, werden wir Ihre Profildaten löschen oder anonymisieren, sobald klar ist, dass keine weitere Nutzung erfolgt. Ihre Beiträge im Forum können anonymisiert bestehen bleiben (damit Diskussionsstränge nicht zerfallen), außer Sie verlangen deren vollständige Löschung.
• Kontaktformulardaten (falls vorhanden): Sollten Sie uns einmalig Daten senden (z.B. Anfrage ohne Buchung), löschen wir diese spätestens nach 12 Monaten, sofern kein Vertragsverhältnis zustande kommt.
7. Ihre Rechte als betroffene Person
Sie haben jederzeit die folgenden Rechte bezüglich Ihrer bei uns gespeicherten personenbezogenen Daten:
• Auskunft (Art. 15 DSGVO): Sie können eine Bestätigung darüber verlangen, ob wir personenbezogene Daten von Ihnen verarbeiten. Falls ja, haben Sie Recht auf Auskunft über diese Daten sowie auf weitere Informationen wie Verarbeitungszwecke, Kategorien der Daten, Empfänger und geplante Speicherdauer.
• Berichtigung (Art. 16 DSGVO): Sollten wir unrichtige oder unvollständige Daten zu Ihrer Person gespeichert haben, können Sie deren Korrektur verlangen.
• Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen („Recht auf Vergessenwerden“). Dieses Recht besteht z.B., wenn der Zweck der Datenverarbeitung erreicht ist oder Daten unrechtmäßig verarbeitet wurden. Achtung: Bestimmte Daten können wir aufgrund gesetzlicher Aufbewahrungspflichten nicht sofort löschen (siehe oben); in solchen Fällen schränken wir die Verarbeitung entsprechend ein.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen verlangen, dass wir Ihre Daten nur noch eingeschränkt verarbeiten, z.B. während wir strittige Richtigstellungen prüfen oder wenn Sie Daten eigentlich gelöscht haben möchten, wir aber noch zur Aufbewahrung verpflichtet sind.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die personenbezogenen Daten, die Sie uns bereitgestellt haben und die wir aufgrund Ihrer Einwilligung oder zur Vertragserfüllung automatisiert verarbeiten, in einem gängigen, maschinenlesbaren Format zu erhalten. Auf Wunsch – und soweit technisch machbar – können wir diese Daten auch direkt an einen von Ihnen benannten neuen Diensteanbieter übertragen (z.B. wenn Sie eine weitere ärztliche Meinung einholen und Ihre digitalen Unterlagen übermitteln möchten).
• Widerspruch (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, haben Sie das Recht, Widerspruch gegen die Verarbeitung einzulegen. Wir werden die betroffenen Daten dann nicht weiter verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Hinweis: Gegen Werbung auf Basis Ihrer Daten können Sie jederzeit formlos Widerspruch einlegen; allerdings versenden wir standardmäßig keine Werbung ohne Einwilligung.
• Widerruf von Einwilligungen: Wenn Sie uns eine Einwilligung erteilt haben (z.B. zur Verarbeitung Ihrer Gesundheitsdaten oder für einen Newsletter), können Sie diese jederzeit widerrufen. Dazu genügt eine formlose Mitteilung (per E-Mail an [email protected]). Im Falle des Widerrufs werden wir die betreffenden Daten in Zukunft nicht mehr nutzen. Der Widerruf hat keinen Einfluss auf bereits erfolgte Verarbeitungen. Beachten Sie bitte, dass ein Widerruf dazu führen kann, dass wir unsere Dienstleistung nicht weiter erbringen können (etwa wenn Sie die Einwilligung zur Verarbeitung Ihrer Gesundheitsdaten widerrufen, können wir keine medizinische Beratung mehr durchführen).
Zur Ausübung Ihrer Rechte können Sie uns jederzeit kontaktieren (am einfachsten per E-Mail). Bitte geben Sie dabei zur Identifikation Ihren Namen und die relevante Kontakt-E-Mail an, damit wir Ihre Anfrage zuordnen können. Wir werden Ihr Anliegen unverzüglich, spätestens innerhalb der gesetzlichen Frist von einem Monat, bearbeiten.
8. Datensicherheit
Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre personenbezogenen Daten bestmöglich zu schützen. Dazu gehören:
• Verschlüsselte Übertragung Ihrer Daten: Unsere Website und Online-Formulare nutzen HTTPS; Videocalls erfolgen verschlüsselt.
• Zugriffsbeschränkung: Nur Dr. Weinrich selbst und ggf. von ihr beauftragte IT-Administratoren (im Störungsfall) haben Zugriff auf die Rohdaten. Alle Mitarbeiterinnen von Dienstleistern sind vertraglich zur Verschwiegenheit verpflichtet.
• Sicheres Speichern: Medizinische Dokumente werden in einem geschützten Cloud-Bereich (Google Drive mit 2-Faktor-Authentifizierung) gespeichert. Lokale Geräte von Dr. Weinrich (Laptop/Smartphone) sind passwortgeschützt und festplattenverschlüsselt.
• Backup und Notfallvorsorge: Wir führen regelmäßige Datensicherungen durch, um Ihre Unterlagen vor Verlust zu schützen.
Trotz aller Maßnahmen kann keine Internet-Übertragung 100 % sicher sein. Wir weisen darauf hin, dass insbesondere bei Kommunikation via E-Mail immer ein Restrisiko besteht. Verwenden Sie für höchstsensible Informationen nach Möglichkeit unsere verschlüsselten Upload-Wege oder kontaktieren Sie uns für eine alternative Lösung.
9. Cookies und Tracking
Unsere Website verwendet keine oder nur technisch notwendige Cook

• Zurück zu Doc Loopi Homepage

Privacy Policy

1. Controller
The controller responsible for processing your personal data in connection with Doc Loopi (website www.docloopi.com, Hamstring Surgery Clarity Audit, General Orthopaedic Online Second-Opinion Call – medical, General Online Support Call – non-medical, Hamstring Recovery Roadmap Call, etc.) is Dr. Luise Weinrich, practice (Ordination): Brunnbachweg 71, 5303 Thalgau, Austria, email: [email protected]. Dr. Weinrich is a physician, a member of the Salzburg Medical Chamber (Ärztekammer für Salzburg) and subject to medical confidentiality pursuant to Section 54 of the Austrian Physicians Act 1998 (ÄrzteG) – your health data will therefore always be treated confidentially.
2. Purposes and Scope of Data Processing
We collect and process personal data exclusively in order to provide our services and to comply with legal obligations. Depending on your use of our services, the following categories of data may be processed:
• Master data: name, contact details (email, telephone number), date of birth, address (where required for invoicing).
• Health data: information on your health and medical history, uploaded medical documents (e.g. MRI reports, physician letters), movement analysis videos, answers to medical questionnaires (e.g. as part of the Clarity Audit or the second-opinion calls). These data belong to the special categories of personal data (Art. 9 GDPR) and are used by us strictly for the purpose of your consultation/treatment.
• Usage and communication data: emails or messages you send us, appointment bookings (calendar entries), login information for any online platforms (e.g. community forum).
• Payment information: for paid services, our payment service providers process data such as invoice amount, chosen payment method and transaction number. Payment-related data (e.g. credit card number) are collected directly by the respective payment provider; we do not store complete payment information ourselves, apart from the necessary payment confirmations.
3. Legal Bases for Processing
Your data are processed in accordance with the EU General Data Protection Regulation (GDPR) and the Austrian Data Protection Act (DSG). Specifically, we rely on the following legal bases:
• Performance of a contract / pre-contractual measures (Art. 6(1)(b) GDPR): when you use our services (e.g. second opinion, support call), processing of many data is necessary to perform the contract – for example to handle your request, conduct the video appointment, prepare the report or give you access to online content.
• Consent (Art. 6(1)(a) in conjunction with Art. 9(2)(a) GDPR): for the processing of your health data (e.g. medical findings) we require your explicit consent, as these are sensitive data. We obtain this consent via a checkbox at the start of the online intake form; the time and content of your consent are documented. You may withdraw your consent at any time with effect for the future (see Section 7 on your rights). Please note: a withdrawal does not affect the lawfulness of processing carried out up to that point and may mean that we have to discontinue a consultation already in progress if the necessary data are no longer available to us.
• Legal obligations (Art. 6(1)(c) GDPR): as a physician, Dr. Weinrich is obliged under Section 51 ÄrzteG to document and retain certain data (patient record). In addition, we are subject to tax-law retention obligations (e.g. accounting and invoice data for 7 years pursuant to Section 132 of the Austrian Federal Fiscal Code, BAO). Such statutory requirements also constitute a legal basis.
• Legitimate interest (Art. 6(1)(f) GDPR): in individual cases we process data on the basis of our legitimate interest, provided your fundamental rights do not override it. Examples: limited storage of technical logs to ensure IT security, or using your email address to send you important information after the consultation. In every case, we ensure an appropriate balance between our interests and your data protection rights.
Special note: in addition to your consent, health data may also be processed under Art. 9(2)(h) in conjunction with Art. 9(3) GDPR (processing for the purposes of preventive medicine and medical consultation by professionals subject to a statutory obligation of professional secrecy). As a physician, Dr. Weinrich is subject to such an obligation (Section 54 ÄrzteG). Wherever possible, we rely on this basis – we nevertheless additionally obtain your explicit consent for reasons of transparency.
4. Disclosure of Data / Recipients
Your personal data are generally not disclosed to third parties unless this is necessary to provide our services, required by law or expressly requested by you. In practice, the following recipients may be involved:
• Internal: Dr. Weinrich is the sole treating physician and operator of Doc Loopi. There are no external employees with access to your health data. All internal processing (review of your findings, preparation of the report, etc.) is carried out by Dr. Weinrich personally. Should assistants or other professionals be involved in future, this would only occur under a confidentiality agreement and with appropriate information to you.
• Processors: we use carefully selected external service providers who process data on our behalf (processing on behalf pursuant to Art. 28 GDPR). These providers receive only the data they need to perform their respective task and are contractually bound to comply with data protection law. Specifically, we use:
o Google Workspace (incl. Google Forms, Drive, Calendar, Meet) – for email communication, scheduling, providing forms and storing your uploaded documents. Google services are provided from EU data centres (Google Ireland Ltd.); we have concluded a data processing agreement with Google including EU Standard Contractual Clauses. Please note: when you complete a form, your entries are transmitted to Google via an encrypted connection and stored there for our retrieval.
o Stripe Payments Europe – for processing credit card payments. Stripe processes payment data (e.g. card number, cardholder, amount, date) as an independent service provider. We only receive information from Stripe on the payment status (successful/failed) and basic transaction details. Stripe is based in the EU (Ireland); data may be transferred to its US parent company in compliance with the GDPR (Standard Contractual Clauses).
o PayPal (Europe) S.à r.l. – if you choose PayPal, PayPal's privacy policy applies. We receive your name, email address and payment confirmation from PayPal.
o Video conferencing providers: our video calls are generally conducted via Google Meet (part of Google Workspace). Your audio/video data are transmitted in encrypted form; no recording takes place without your consent. In individual cases, another GDPR-compliant video service may be used, which we will inform you of (e.g. Zoom with EU data centre).
o Website hosting: our website is hosted by Carrd Inc. (USA); Cloudflare, Inc. (USA) is also used for the technical delivery and security of the website. When you visit the website, technically necessary data (e.g. IP address, time of access, browser type) are processed in order to provide the website securely and reliably (legitimate interest, Art. 6(1)(f) GDPR). Data transfers to the USA are based on the EU-US Data Privacy Framework or the EU Standard Contractual Clauses.
• Legally required disclosures: in rare cases we are legally obliged to disclose data to third parties, e.g. to health authorities, courts or law enforcement authorities, for example in the case of notifiable diseases under the Austrian Epidemics Act or by court order. Such cases are very rare. Where possible, we will inform you in advance. If you apply to your health insurer for (partial) reimbursement of costs, it may be necessary to transmit data (e.g. the invoice) to them. This is then done by you or at your request.
• No unauthorised disclosure: we neither sell your data nor pass them on to third parties for marketing purposes. We do not send newsletters unless you have expressly consented.
5. Transfers to Third Countries
We endeavour to process your data in Austria or the EU wherever possible. All main systems (email, cloud storage, payment processing) have EU locations. Nevertheless, transfers to third countries may occur for technical reasons: for example, US providers such as Google, Carrd or Cloudflare have access options to data for administrative reasons, or Dr. Weinrich accesses your data while abroad. In such cases, we ensure that appropriate safeguards are in place (in particular EU Standard Contractual Clauses and additional encryption). Important: if you are not based in Austria, by using our services you consent to any transfer of your data to non-EU countries to the extent necessary for the performance of the contract. Our contracts with processors ensure a level of data protection in line with the GDPR. If you have any questions about specific transfer mechanisms, please feel free to contact us.
6. Retention Periods
We do not store personal data for longer than necessary. Specifically, the following retention periods apply:
• Medical records (treatment documentation): at least 10 years pursuant to Section 51 ÄrzteG. In certain cases (e.g. suspected treatment errors, relevant pre-existing conditions), longer retention may be appropriate. After expiry of the statutory period, you have the right to request deletion of your medical records, provided no other retention obligations apply.
• Contract and billing data: invoices, accounting records and proof of payment are retained for 7 years for tax reasons (Section 132 BAO).
• Communication: emails or text messages exchanged in the course of the consultation may form part of the patient record and are then also subject to the 10-year period. Purely organisational communication without reference to the medical consultation is generally deleted earlier, once no longer required.
• Account data (community): if you have an account in one of our online communities and close it or remain inactive for a longer period, we will delete or anonymise your profile data as soon as it is clear that no further use will occur. Your forum posts may remain in anonymised form (so that discussion threads remain intact) unless you request their complete deletion.
• Contact form data (if applicable): if you send us data on a one-off basis (e.g. an enquiry without booking), we will delete these after 12 months at the latest, unless a contractual relationship is established.
7. Your Rights as a Data Subject
You have the following rights at any time with regard to the personal data we store about you:
• Access (Art. 15 GDPR): you may request confirmation as to whether we process personal data concerning you. If so, you have the right to access these data and to further information such as processing purposes, data categories, recipients and planned retention period.
• Rectification (Art. 16 GDPR): if we have stored inaccurate or incomplete data about you, you may request their correction.
• Erasure (Art. 17 GDPR): you have the right to request the erasure of your personal data (“right to be forgotten”). This right applies, for example, where the purpose of processing has been achieved or data have been processed unlawfully. Please note: we cannot delete certain data immediately due to statutory retention obligations (see above); in such cases we restrict processing accordingly.
• Restriction of processing (Art. 18 GDPR): under certain conditions you may request that we only process your data to a limited extent, e.g. while we verify a disputed correction, or where you would like data deleted but we are still obliged to retain them.
• Data portability (Art. 20 GDPR): you have the right to receive the personal data you have provided to us, which we process automatically on the basis of your consent or for the performance of a contract, in a commonly used, machine-readable format. On request – and where technically feasible – we can also transfer these data directly to a new provider designated by you (e.g. if you seek a further medical opinion and wish to transmit your digital records).
• Objection (Art. 21 GDPR): where we process data on the basis of legitimate interests, you have the right to object to the processing. We will then no longer process the data concerned unless we can demonstrate compelling legitimate grounds that override your interests, or the processing serves the establishment, exercise or defence of legal claims. Note: you may object informally at any time to advertising based on your data; however, we do not send advertising without consent by default.
• Withdrawal of consent: if you have given us your consent (e.g. to the processing of your health data or for a newsletter), you may withdraw it at any time. An informal notification is sufficient (by email to [email protected]). In the event of withdrawal, we will no longer use the data concerned in future. The withdrawal does not affect processing already carried out. Please note that a withdrawal may mean that we can no longer provide our service (e.g. if you withdraw consent to the processing of your health data, we can no longer provide medical consultation).
To exercise your rights, you can contact us at any time (most easily by email). Please state your name and the relevant contact email address for identification so that we can assign your request. We will handle your request without undue delay and at the latest within the statutory period of one month.
8. Data Security
We use technical and organisational security measures to protect your personal data as effectively as possible. These include:
• Encrypted transmission of your data: our website and online forms use HTTPS; video calls are encrypted.
• Access restriction: only Dr. Weinrich herself and, where applicable, IT administrators engaged by her (in the event of technical faults) have access to the raw data. All staff of service providers are contractually bound to confidentiality.
• Secure storage: medical documents are stored in a protected cloud area (Google Drive with two-factor authentication). Dr. Weinrich's local devices (laptop/smartphone) are password-protected and disk-encrypted.
• Backup and contingency planning: we perform regular backups to protect your records against loss.
Despite all measures, no internet transmission can be 100% secure. Please note that there is always a residual risk, particularly with email communication. For highly sensitive information, please use our encrypted upload channels wherever possible or contact us for an alternative solution.
9. Cookies and Tracking
Our website uses no cookies or only technically necessary cookies, unless stated otherwise in the cookie banner. We refrain from invasive tracking for marketing purposes. Should an analytics tool (such as Google Analytics or similar) be used in future, we will obtain your consent in advance and update this privacy policy accordingly. Currently, data collection is limited to what is technically necessary (server log files with IP address at our hosting provider to ensure operation, see legitimate interest above; IP addresses are anonymised or deleted after a short period).
10. Questions, Complaints and Supervisory Authority
For any questions about data protection or complaints, you can contact Dr. Luise Weinrich directly (see contact details above). We take data protection very seriously and will address your concern as quickly as possible. You also have the right to lodge a complaint with a data protection supervisory authority. The competent authority for us is the Austrian Data Protection Authority (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Vienna, Austria, tel.: +43 1 52 152-0, email: [email protected]. Alternatively, you may contact the supervisory authority at your place of residence in the EU.
11. Updates to this Privacy Policy
We review this privacy policy regularly and adapt it where there are changes in data processing or the legal situation. The current version is always available on our website. We will also announce material changes by email if you are a client.
In the event of any discrepancies, the German version of this privacy policy shall prevail.
Status of this privacy policy: 30 September 2026

• Back to Doc Loopi Homepage