Information nach Art. 13 und 14 DSGVO · Version 1.0 · Stand 05.11.2026

Der Schutz Ihrer Gesundheitsdaten hat für uns höchste Priorität. Hier erfahren Sie, welche Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage, an wen wir sie weitergeben, wie lange wir sie speichern und welche Rechte Sie haben. Für Ihre Behandlung benötigen wir keine Einwilligung: Sie ist durch den Behandlungsvertrag und das Gesetz gedeckt. Eine Einwilligung holen wir nur für freiwillige Zusatzleistungen ein (siehe Abschnitt 4).

1. Verantwortlicher

BOMI Physio GmbH
Gartenstraße 8, 60594 Frankfurt am Main
Geschäftsführer: Christoph Petersen · HRB 125670, Amtsgericht Frankfurt am Main
Telefon: 069 204 368 240 · E-Mail: info@bomi-physio.de

Die BOMI Physio GmbH ist für alle drei Praxen verantwortlich:

Praxis	Anschrift	Telefon	E-Mail
Frankfurt Europaviertel	Europa-Allee 54, 60327 Frankfurt am Main	069 204 368 240	europaviertel@bomi-physio.de
Frankfurt Sachsenhausen	Gartenstraße 8, 60594 Frankfurt am Main	069 955 184 15	sachsenhausen@bomi-physio.de
Mannheim	Otto-Beck-Straße 21–25, 68165 Mannheim	0621 432 976 60	mannheim@bomi-physio.de

2. Datenschutzbeauftragter

Unseren Datenschutzbeauftragten erreichen Sie vertraulich:
E-Mail: datenschutz@bomi-physio.de
Per Post: BOMI Physio GmbH, z. Hd. Datenschutzbeauftragter – vertraulich –, Gartenstraße 8, 60594 Frankfurt am Main

3. Welche Daten wir verarbeiten und woher sie stammen

• Stammdaten: Name, Geburtsdatum, Anschrift, Telefonnummer, E-Mail-Adresse; bei Minderjährigen und Betreuten auch Daten der gesetzlichen Vertretung.
• Versicherungsdaten: Krankenkasse, Versichertennummer, Versichertenstatus, Zuzahlungsbefreiung; bei Privatversicherten und Beihilfeberechtigten die Angaben für die Rechnung; bei Arbeits- und Wegeunfällen die Berufsgenossenschaft.
• Verordnungsdaten: ärztliche Heilmittelverordnung, verordnende Ärztin bzw. verordnender Arzt, Diagnose, Indikationsschlüssel.
• Gesundheitsdaten: Anamnese, Befunde, Therapieziele, Behandlungsverlauf und -dokumentation, Arztberichte, Bildgebung und Unterlagen, die Sie uns mitbringen.
• Termin- und Kommunikationsdaten: gebuchte, verschobene und abgesagte Termine, Nachrichten über den Doctolib-Messenger, E-Mails, Telefonate (Rufnummer, Zeitpunkt).
• Abrechnungs- und Zahlungsdaten: Rechnungen, Zuzahlungen, Zahlungseingänge, Kartenzahlungen.
• Foto- und Videoaufnahmen zur Bewegungsanalyse: nur mit Ihrer Einwilligung.
• Kamerabilder der Praxisräume: nur als Echtzeitbild, ohne Speicherung (Abschnitt 11).

Die meisten Daten erhalten wir von Ihnen selbst. Weitere Daten stammen aus der ärztlichen Verordnung, von Ihrer Krankenkasse bzw. Berufsgenossenschaft (z. B. Versichertenstatus) und aus Ihrer Online-Buchung über Doctolib.

4. Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage
Untersuchung, Behandlung und Therapieplanung (Physiotherapie, Osteopathie, Heilpraktikerleistungen)	Art. 6 Abs. 1 lit. b, Art. 9 Abs. 2 lit. h, Abs. 3 DSGVO, § 22 Abs. 1 Nr. 1 lit. b BDSG (Behandlungsvertrag)
Behandlungsdokumentation	Art. 6 Abs. 1 lit. c, Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 630f BGB
Terminvergabe und -verwaltung	Art. 6 Abs. 1 lit. b DSGVO
Abrechnung mit gesetzlichen Krankenkassen (über unser Abrechnungszentrum)	Art. 6 Abs. 1 lit. c, Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 302 SGB V
Abrechnung mit Berufsgenossenschaften und Unfallversicherungsträgern	Art. 6 Abs. 1 lit. c, Art. 9 Abs. 2 lit. h DSGVO i. V. m. SGB VII
Rechnungsstellung an Privatpatienten und Selbstzahler	Art. 6 Abs. 1 lit. b DSGVO
Abtretung der Forderung an opta data Finance (Privatabrechnung)	Ihre Einwilligung, Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO (gesondertes Formular)
Rückfragen zur Verordnung und Therapiebericht, wenn die Ärztin oder der Arzt ihn auf der Verordnung anfordert	Art. 9 Abs. 2 lit. h DSGVO i. V. m. Heilmittel-Richtlinie
Weitergehender Austausch mit Ärzten, anderen Therapeuten oder Angehörigen	Ihre Einwilligung bzw. Schweigepflichtentbindung
Terminerinnerungen per SMS oder E-Mail	Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO
Foto- und Videoaufnahmen zur Bewegungsanalyse	Ihre Einwilligung, Art. 9 Abs. 2 lit. a DSGVO
Verkauf von Zubehör, Kurse, Training, Firmenfitness	Art. 6 Abs. 1 lit. b DSGVO
Steuer- und handelsrechtliche Aufbewahrung	Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB
IT-Sicherheit und Betrieb unserer Systeme	Art. 6 Abs. 1 lit. f, Art. 32 DSGVO
Videoüberwachung von Eingangs- und Empfangsbereichen	Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Einbruch, Diebstahl, Vandalismus)
Geltendmachung und Abwehr von Rechtsansprüchen	Art. 6 Abs. 1 lit. f, Art. 9 Abs. 2 lit. f DSGVO

Pflicht zur Angabe: Ohne Ihre Stamm- und Gesundheitsdaten können wir Sie nicht fachgerecht behandeln. Ohne Verordnung und Versichertendaten ist keine Abrechnung mit Ihrer Krankenkasse möglich; die Behandlung müsste dann privat abgerechnet werden. Alle Einwilligungen sind freiwillig. Wenn Sie sie nicht erteilen, hat das keinen Einfluss auf Ihre Behandlung.

5. Wer in der Praxis Zugriff hat

Zugriff erhalten nur Mitarbeitende, die ihn für ihre Aufgabe benötigen: Ihre behandelnden Therapeutinnen und Therapeuten, der Empfang für Termine und Stammdaten, die Verwaltung für die Abrechnung. Unsere drei Praxen nutzen eine gemeinsame Praxissoftware. Auf Ihre Akte greift ein anderer Standort nur zu, wenn Sie dort behandelt werden oder es für Vertretung oder Abrechnung erforderlich ist. Alle Mitarbeitenden sind auf die Vertraulichkeit und die berufliche Schweigepflicht (§ 203 StGB) verpflichtet und werden regelmäßig geschult.

6. Empfänger Ihrer Daten

Eigenständige Empfänger – nur soweit gesetzlich vorgesehen, für die Behandlung erforderlich oder von Ihnen eingewilligt:

• Ihre gesetzliche Krankenkasse, Berufsgenossenschaft oder sonstiger Kostenträger
• Ihre verordnende Ärztin bzw. Ihr verordnender Arzt (Abschnitt 4)
• opta data Finance GmbH, Essen, und die mit ihr verbundenen Inkasso- und Refinanzierungspartner – nur bei Privatabrechnung und nur mit Ihrer gesonderten Einwilligung
• SumUp (Kartenzahlung) für die Abwicklung Ihrer Zahlung
• unsere Steuerberatung (nur Rechnungs- und Buchungsdaten, keine Behandlungsdokumentation); sie ist selbst zur Verschwiegenheit verpflichtet
• Behörden, Gerichte und Rechtsanwälte, wenn eine gesetzliche Pflicht besteht oder es zur Durchsetzung von Ansprüchen nötig ist

Auftragsverarbeiter – Dienstleister, die für uns weisungsgebunden arbeiten. Mit allen bestehen Verträge nach Art. 28 DSGVO; soweit sie Zugang zu Patientendaten haben, sind sie zusätzlich nach § 203 Abs. 3, 4 StGB zur Verschwiegenheit verpflichtet.

Dienstleister	Aufgabe
SOVDWAER Gesellschaft für EDV-Lösungen mbH, Ludwigsburg	Praxissoftware THEORG, Support und Fernwartung, Telematikinfrastruktur und KIM (sichere Kommunikation im Gesundheitswesen), sobald angebunden
Individuelle Daten Technik GmbH (idt), Ludwigsburg	Rechenzentrum der THEORG-Cloud (ISO 27001-zertifiziert)
Doctolib GmbH, Berlin	Online-Terminbuchung, Terminerinnerungen, Patienten-Messenger
Nelly Solutions GmbH, Berlin	Digitale Anmeldung, Formulare und Unterschriften
opta data Abrechnungs GmbH, Essen	Abrechnung mit den gesetzlichen Krankenkassen
Microsoft Ireland Operations Ltd., Dublin	E-Mail, interne Kommunikation und Dateiablage (Microsoft 365)
3CX	Telefonanlage
HÖLL Office GmbH, Baden-Baden	Wartung von Hardware und Netzwerk

Übermittlung in Drittländer: Grundsätzlich verarbeiten wir Ihre Daten in der EU. Bei Microsoft 365 ist ein Zugriff aus den USA nicht ausgeschlossen. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln.

7. Speicherdauer

Daten	Speicherdauer
Behandlungsdokumentation einschließlich Befunden und Arztberichten	10 Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB)
Rechnungen und Buchungsbelege	8 Jahre (§ 147 AO, § 257 HGB)
Geschäftsbriefe und sonstige steuerlich relevante Unterlagen	6 Jahre
Einwilligungen	für die Dauer der Geltung, danach als Nachweis bis zu 3 Jahre
Termindaten in Doctolib	Frist laut Doctolib-Einstellung
Anfragen ohne anschließende Behandlung	6 Monate
Bilder der Videoüberwachung	keine Speicherung (nur Echtzeitbild)

Die Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Behandlung abgeschlossen bzw. der Beleg erstellt wurde. Laufen Rechtsstreitigkeiten, speichern wir bis zu deren Abschluss. Danach löschen bzw. vernichten wir die Daten.

8. Ihre Rechte

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO) und Einsicht in Ihre Patientenakte sowie Abschriften (§ 630g BGB). Die erste Kopie ist kostenlos.
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO). Solange gesetzliche Aufbewahrungspflichten bestehen, dürfen wir die Behandlungsdokumentation nicht löschen. Wir schränken die Verarbeitung dann ein.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) für Daten, die Sie uns selbst bereitgestellt haben.
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de. Sie können sich auch an jede andere Aufsichtsbehörde wenden.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (z. B. Videoüberwachung, IT-Sicherheit), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, außer wir können zwingende schutzwürdige Gründe nachweisen oder benötigen sie zur Durchsetzung von Rechtsansprüchen.

So machen Sie Ihre Rechte geltend: formlos per E-Mail an datenschutz@bomi-physio.de oder schriftlich an die Anschrift in Abschnitt 1. Wir antworten innerhalb eines Monats und prüfen vorher Ihre Identität, damit keine Unbefugten Ihre Daten erhalten.

9. Kommunikation mit uns

Für Nachrichten zu Ihrer Behandlung nutzen Sie bitte den Doctolib-Messenger oder das Telefon. Normale E-Mails sind nicht Ende-zu-Ende-verschlüsselt. Gesundheitsinformationen senden wir per E-Mail nur, wenn Sie das ausdrücklich wünschen. WhatsApp und andere private Messenger nutzen wir für die Kommunikation mit Patienten nicht.

10. Minderjährige und Betreute

Bei Minderjährigen schließen die Sorgeberechtigten den Behandlungsvertrag und üben die Rechte aus. Ist die oder der Minderjährige ausreichend einsichtsfähig, beziehen wir sie oder ihn ein und respektieren ihre bzw. seine Entscheidung. Bei Betreuten handelt die bestellte Betreuungsperson im Rahmen ihres Aufgabenkreises.

11. Videoüberwachung

An einzelnen Standorten beobachten wir Eingangs-, Empfangs- und Lagerbereiche per Kamera in Echtzeit. Behandlungsräume, Umkleiden und Sanitärräume werden nie überwacht. Es findet keine Tonaufzeichnung statt. Hinweisschilder weisen vor Betreten auf die Überwachung hin. Die Bilder werden weder aufgezeichnet noch gespeichert.

12. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen, und erstellen keine Profile (Art. 22 DSGVO).

13. Sicherheit und Änderungen

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, unter anderem Zugriffsrechte nach Rollen, verschlüsselte Übertragung, ein zertifiziertes Rechenzentrum, Datensicherungen und regelmäßige Schulungen. Wir passen diese Information an, wenn sich Abläufe oder Rechtslage ändern. Die aktuelle Fassung finden Sie unter bomi-physio.de/datenschutz-patienten und als Aushang in jeder Praxis. Einen Ausdruck erhalten Sie jederzeit am Empfang.