CORENTA — RICHTLINIE ZUR AUFBEWAHRUNG UND LÖSCHUNG VON DATEN

Diese Übersetzung dient nur zur Information; rechtlich verbindlich ist der türkische Text.

Löschung einer Klientin ohne Konto: Die Aktion Löschen durch die Praxisleitung gilt als Antrag; der Datensatz verschwindet sofort aus der aktiven Liste, und nach 30 Tagen werden Identitäts- und Kontaktdaten sowie die Gesundheitsfelder der Klientin (Blutgruppe, Allergien, chronische Erkrankungen, Medikamente) gelöscht bzw. geleert (siehe 5.0). Die allgemeine Beschreibung der Kontolöschung weiter unten ist in diesem besonderen Fall nicht als Pflicht zur endgültigen Löschung der Klientenzeile zu verstehen. Anamnese, Messwerte, Einheitsnotizen und Finanzeinträge unterliegen weiter ihren eigenen Aufbewahrungsregeln.

Gültig ab / letzte Aktualisierung: 19. Oktober 2026 Version: 1.9 Verantwortlicher / Herausgeber: Mertcan Demir — Einzelunternehmen unter dem Handelsnamen "Teta Studio"

Änderungsprotokoll

• 1.9 — 19. Oktober 2026: Die Formulierung "nur Türkei" in Abschnitt 14 wurde durch das weltweite Angebot ersetzt; die Aufbewahrungsfristen sind unverändert.
• 1.8 — 19. Oktober 2026: Veröffentlichungsfassung; gültig ab 19. Oktober 2026. In Abschnitt 4 wurde die Zeile zu den Gruppennachrichten der Praxis und den für die Prüfung durch das Team zurückgehaltenen Nachrichtenkopien (Nr. 12) ergänzt; die Liste der regelmäßigen Löschung in Abschnitt 7 wurde entsprechend erweitert; die leeren Angaben zu MERSİS und KEP wurden aus Tabelle 1.3 entfernt.
• 1.7 — 11. Oktober 2026: Gemäß der Compliance-Prüfung vom 11. Oktober 2026 (F01, F02, F08, F11, F13, F19, F21): Die Aussage in §11 "Supabase/Frankfurt ist keine Übermittlung ins Ausland" wurde gestrichen und der Abschnitt zur Übermittlung ins Ausland nach Art. 9 des Gesetzes Nr. 6698 in der Fassung ab 2024 neu formuliert (die Standardverträge sind noch nicht unterzeichnet); für Gesundheits-, Klinik- und Finanzdaten wurde der Begriff "anonym" in eingeschränkte Aufbewahrung ohne Personenbezug korrigiert (der freie Text von Einheitsnotizen wird nicht verändert); die Rechtsgrundlage der Zeile zum Einwilligungsnachweis wurde auf Art. 5/2-e korrigiert (der falsche Verweis auf Art. 20/2 wurde entfernt); die Zeile zum Formular für den frühen Zugang wurde aktualisiert, sodass Information und Einwilligung in kommerzielle Nachrichten getrennt sind; für Kategorien ohne automatische Löschung wurde der Grundsatz der halbjährlichen regelmäßigen Löschung ergänzt; die Identität wurde auf Einzelunternehmen korrigiert; der Abschnitt zu VERBİS wurde nach den Beschlüssen des Kurul von 2025 formuliert.
• 1.6 — 10. Oktober 2026: Expo (Expo Push Notification Service) wurde aus den Einträgen der (Unter-)Auftragsverarbeiter entfernt; Push-Mitteilungen werden nur über Apple (APNs) und Google (FCM) zugestellt, Expo/EAS ist nur ein Build-Werkzeug der App und verarbeitet keine Daten von Endnutzer:innen.
• 1.5 — 10. Oktober 2026: Die Formulierung zur Auswahl von Google Analytics wurde entfernt; klargestellt wurde, dass keine Analyse durch Dritte stattfindet und wer die Push-Mitteilungen verarbeitet.
• 1.4 — 4. Oktober 2026: Der geltende Text wurde als genehmigte Fassung festgeschrieben. In dieser Fassung wurde nur Folgendes behandelt: Kontolöschung (der Zugang endet sofort, personenbezogene Daten werden gelöscht/anonymisiert, gesetzlich aufzubewahrende Zahlungsunterlagen werden ohne Identität aufbewahrt; keine Frist zum Rückgängigmachen); Löschung der Gesundheitsfelder der Klient:innen nach 30 Tagen; 7-Tage-Frist für verwaiste Belege; Verbergen der Kontaktdaten der Klient:innen im Supportmodus; serverseitige Messung ohne Identität; Service-E-Mails und Google Workspace; Verarbeiter der Push-Mitteilungen; Support-Adresse; Markt (Türkei).
• 1.3 — 7. Juli 2026 (Aktualisierung vom 4. August 2026): frühere Fassung.

Wichtiger Hinweis zur Rolle als Verantwortlicher / Auftragsverarbeiter: Diese Richtlinie zur Aufbewahrung und Löschung von Daten (die "Richtlinie") regelt, wie lange personenbezogene Daten aufbewahrt werden, die im Rahmen des Softwaredienstes Corenta (der "Dienst" oder die "Anwendung") verarbeitet werden, der von Mertcan Demir, tätig als Einzelunternehmen unter dem Handelsnamen "Teta Studio" ("Corenta", "Teta Studio", das "Unternehmen"), entwickelt und betrieben wird, nach welchen Kriterien diese Fristen bestimmt werden und mit welchen Verfahren diese Daten gelöscht, vernichtet oder anonymisiert werden, wenn die Aufbewahrungsfrist endet oder der Grund für die Verarbeitung entfällt.

Diese Richtlinie wurde auf Grundlage des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten — KVKK (Türkiye Kişisel Verilerin Korunması Kanunu) — ("KVKK"), der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten (die "Verordnung") und weiterer einschlägiger Vorschriften erstellt und ist fester Bestandteil des Verzeichnisses der Verarbeitungstätigkeiten von Corenta. Sie ist zusammen mit dem jeweiligen Datenschutzhinweis bzw. der Datenschutzerklärung zu lesen, in denen Zwecke und Rechtsgrundlagen der Verarbeitung ausführlich erläutert werden; dieses Dokument regelt nur Aufbewahrungsfristen und Löschverfahren und soll die Informationspflicht nach Art. 10 KVKK nicht allein vollständig erfüllen.

1. Zweck und Geltungsbereich

1.1. Zweck

Zweck dieser Richtlinie ist es, die Kriterien zur Bestimmung der Höchstdauer darzulegen, die für den Zweck der Verarbeitung personenbezogener Daten durch Corenta erforderlich ist, die Anwendung gesetzlich vorgesehener Fristen zu erläutern und die Verfahren und Grundsätze für das Löschen, Vernichten oder Anonymisieren personenbezogener Daten nach Ablauf der Aufbewahrungsfrist zu beschreiben. Grundlage dieser Richtlinie sind Art. 5, 6, 7, 10, 11 und 12 KVKK sowie die einschlägigen Artikel der Verordnung.

1.2. Geltungsbereich und Rollentrennung — Wichtiger Hinweis

Diese Richtlinie umfasst zwei getrennte Bereiche, in denen Corenta Daten in zwei verschiedenen Rollen verarbeitet; diese Trennung wird in der gesamten Richtlinie einheitlich angewendet und bestimmt unmittelbar, wie die Tabelle der Aufbewahrungsfristen zu lesen ist:

(a) Kontext der Unternehmenswebsite (corenta.app — Formular für frühen Zugang/Demoanfrage): Für personenbezogene Daten, die an dem Produkt interessierte potenzielle Geschäftskund:innen über das Bewerbungsformular für den frühen Zugang übermitteln, handelt Corenta/Teta Studio nach Art. 3 KVKK unmittelbar als Verantwortlicher.

(b) Kontext des SaaS-Produkts (app.corenta.app): Für personenbezogene Daten, die Zentren für klinisches Pilates, Physiotherapie, Reformer, Wellness/Massage und Yoga, die die Plattform Corenta im Abonnement nutzen (der "Tenant", der "Betrieb" oder die "Praxis"), über ihre eigenen Klient:innen (die "betroffene Klientin" bzw. der "betroffene Klient") in die Plattform eingeben (Kontaktdaten, Anamnese, Einheitsnotizen, Termin-/Paketdaten usw.), ist die Praxis nach Art. 3 KVKK Verantwortlicher; Corenta/Teta Studio handelt nur als Auftragsverarbeiter und erbringt nach den Weisungen der Praxis eine technische Infrastrukturleistung. Die Pflicht zur Information der Klient:innen, das Einholen der ausdrücklichen Einwilligung und die abschließende Entscheidung über Aufbewahrung/Löschung der Klientendaten liegen in der rechtlichen Verantwortung der Praxis. Corenta erleichtert die Erfüllung dieser Pflichten technisch im Produkt (Mechanismus zur Erfassung von Einwilligungen consent_logs, mobiler KVKK-Zustimmungsbildschirm kvkk.tsx, Prüfspuren), übernimmt aber nicht die KVKK-Compliance-Pflichten der Praxis. Die in dieser Richtlinie für diesen Kontext genannten Aufbewahrungsfristen zeigen, wie lange Corenta diese Daten als Auftragsverarbeiter tatsächlich in seiner Infrastruktur vorhält; die abschließende Löschentscheidung und -frist können sich nach den Weisungen der Praxis und den für sie geltenden Vorschriften richten.

Diese Richtlinie umfasst außerdem in ihren allgemeinen Grundsätzen die Aufbewahrungs- und Löschprozesse für personenbezogene Daten von Mitarbeitenden, Geschäftspartnern und Lieferanten von Corenta; der eigentliche Schwerpunkt der Richtlinie liegt jedoch auf den in Buchstaben (a) und (b) beschriebenen Kunden- und Klientendaten.

1.3. Angaben zum Verantwortlichen / Auftragsverarbeiter

1.4. Rechtsgrundlagen

• Gesetz Nr. 6698 zum Schutz personenbezogener Daten,
• Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten (Amtsblatt vom 28.10.2017, Nr. 30224),
• Leitfaden zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten und Beschlüsse des Kişisel Verileri Koruma Kurulu (der "Kurul"),
• Gesetz Nr. 6102, türkisches Handelsgesetzbuch (Aufbewahrung von Handelsbüchern und -unterlagen),
• Gesetz Nr. 213, türkisches Steuerverfahrensgesetz (Aufbewahrung von Finanzunterlagen),
• Weitere einschlägige Branchenvorschriften (soweit anwendbar einschließlich der Vorschriften über die Erbringung von Gesundheitsleistungen).

2. Begriffsbestimmungen

3. Kriterien zur Bestimmung der Aufbewahrungs- und Löschfristen (Art. 5, 6 KVKK)

3.1. Gründe, die eine Aufbewahrung erfordern

Bei Corenta werden personenbezogene Daten nur so lange aufbewahrt, wie es die einschlägigen Vorschriften ausdrücklich vorsehen oder wie es für den Zweck ihrer Verarbeitung erforderlich ist. Zur Bestimmung der Aufbewahrungsfrist werden folgende Kriterien herangezogen:

1. Besteht eine gesetzliche Aufbewahrungspflicht? (Z. B. Mindestaufbewahrungsfristen für Finanzunterlagen nach dem türkischen Handelsgesetzbuch und dem türkischen Steuerverfahrensgesetz.)
2. Zu welchem Zweck wurden die Daten verarbeitet, und besteht dieser Zweck noch? (Art. 5/2 KVKK — Grundsatz der Zweckbindung.)
3. Sind sie für Abschluss/Erfüllung des Vertrags erforderlich? (Z. B. Termin- und Paketdaten, solange das Abo- bzw. Dienstverhältnis besteht.)
4. Sind sie zur Begründung, Ausübung oder Verteidigung eines Rechts (als Beweismittel in einem möglichen Rechtsstreit) erforderlich? (Unter Berücksichtigung der allgemeinen Verjährungsfristen des türkischen Obligationengesetzes.)
5. Liegt eine ausdrückliche Einwilligung der betroffenen Person vor, und ist sie noch wirksam?
6. Besteht ein berechtigtes Interesse von Corenta oder der Praxis? (Z. B. Sicherheitsprotokolle, Erkennung von Betrug/Missbrauch.)
7. Gehören die Daten zu den besonderen Kategorien (Gesundheit)? Dann gelten nach Art. 6 KVKK strengere Zugriffsbeschränkungen und Begründungsanforderungen; die Aufbewahrungsfrist wird niemals über den Zweck hinaus verlängert.

Erfordert keines der oben genannten Kriterien die Aufbewahrung bestimmter personenbezogener Daten, werden diese Daten unverzüglich gelöscht, vernichtet oder anonymisiert.

3.2. Gründe, die eine Beseitigung erfordern

Personenbezogene Daten werden in folgenden Fällen auf Antrag der betroffenen Person oder von Amts wegen durch Corenta bzw. die Praxis gelöscht, vernichtet oder anonymisiert:

a) Änderung oder Aufhebung der Rechtsvorschriften, auf denen die Verarbeitung beruht, b) Wegfall des Zwecks, der die Verarbeitung oder Aufbewahrung erfordert, c) Widerruf der Einwilligung durch die betroffene Person bei Verarbeitungen, die auf ausdrücklicher Einwilligung beruhen, d) Antrag der betroffenen Person auf Löschung/Vernichtung im Rahmen der Rechte nach Art. 11 KVKK, sofern der Antrag begründet ist (Antrag auf Kontolöschung), e) Ablauf der Aufbewahrungsfrist, ohne dass noch ein Rechtsgrund für die Aufbewahrung besteht, f) Nichtzustandekommen, Unwirksamkeit, Kündigung oder Rücktritt vom Vertrag, g) endgültiger Abschluss des Antrags auf Kontolöschung nach dem in Ziffer 5 dieser Richtlinie beschriebenen Verfahren.

4. Tabelle der Datenkategorien, Aufbewahrungsfristen und Beseitigungsmethoden

Die folgende Tabelle zeigt die wichtigsten Kategorien personenbezogener Daten in der Infrastruktur von Corenta, ihre Aufbewahrungsfrist, die Begründung und die nach Fristablauf angewandte Beseitigungsmethode. Sofern nicht ausdrücklich anders angegeben, gilt die allgemeine Regel: "Solange das zugehörige Konto bzw. der zugehörige Datensatz aktiv ist + 30 Tage ab Bearbeitung des Antrags auf Kontolöschung." Die Tabelle ist zusammen mit dem in Abschnitt 5 beschriebenen Ablauf der Kontolöschung zu lesen. Bei einigen Kategorien ist der Schritt dieses Ablaufs nach 30 Tagen kein DELETE (endgültige Löschung), sondern eine Anonymisierung; dieser Unterschied ist in den betreffenden Zeilen und in Abschnitt 6.2 ausdrücklich angegeben.

<div style="overflow-x:auto">

</div>

Hinweis 1: In der Tabelle bezeichnet "solange das Konto bzw. der Tenant aktiv ist" den Zeitraum, in dem das Corenta-Abo der Praxis fortbesteht und der Klientendatensatz von der Praxis nicht gelöscht wurde. Wann die Praxis die Daten ihrer eigenen Klient:innen löscht, bestimmt sich nach ihrer eigenen Datenschutzrichtlinie (als Verantwortlicher) und ihrer Beziehung zur Klientin bzw. zum Klienten; Corenta stellt die technischen Mittel dafür bereit.

Hinweis 2: Die Fristen von 2 Jahren in Nr. 7 (Prüfprotokolle) und 5 Jahren in Nr. 8 (Einwilligungsnachweise) sind von Corenta festgelegte feste Aufbewahrungsfristen (anders als die gesetzliche Frist in Nr. 6 beruhen sie nicht unmittelbar auf einer Rechtsvorschrift; sie sind eine aus sich heraus verbindliche Selbstverpflichtung auf Grundlage des berechtigten Interesses und der Beweislast nach Art. 5/2-f KVKK). Ein automatischer Löschmechanismus zum Fristende läuft im System derzeit nicht; nach Fristablauf erfolgt die Löschung/Anonymisierung von Hand, und sobald eine Automatisierung eingeführt ist, wird diese Richtlinie aktualisiert. Die Angabe "höchstens 2 Jahre" in Nr. 9 (Daten aus dem Formular für den frühen Zugang) hat einen anderen Bezug und bezeichnet, wie in der Zeile erläutert, eine eigene rechtliche Obergrenze.

5. Ablauf der Kontolöschung — von Anfang bis Ende

Um Löschanträge betroffener Personen nach Art. 11 KVKK technisch umzusetzen, wendet Corenta eine zweistufige Löscharchitektur an, die Nutzererlebnis, Datensicherheit und rechtlichen Beweisbedarf ausbalanciert: sofortiges logisches Löschen (Soft Delete) und daran anschließend endgültige Löschung nach 30 Tagen.

5.0. Änderung vom 4. Oktober 2026 — bei Widersprüchen zu 5.1 bis 5.7 hat diese Ziffer Vorrang

Kontolöschung (ab 4. Oktober 2026): Wird der Löschantrag bestätigt, endet der Zugang zum Konto sofort (Sitzungen werden beendet, eine Anmeldung ist nicht mehr möglich); personenbezogene Daten werden gelöscht oder anonymisiert (Name, E-Mail, Telefon, Bild sowie Identitäts-/Kontaktdaten und Gesundheitsfelder der Klient:innen — Blutgruppe, Allergien, chronische Erkrankungen, Medikamente — werden bereinigt); gesetzlich aufzubewahrende Zahlungs- und Vergütungsunterlagen werden nicht gelöscht, sondern ohne Personenbezug und mit eingeschränktem Zugriff aufbewahrt. Eine Frist zum Rückgängigmachen nach dem Antrag gibt es nicht; die endgültige Löschung des Authentifizierungseintrags und der Dateien wird im bestehenden dreißigtägigen Hintergrundprozess abgeschlossen.

Löschung eines Klientendatensatzes und Gesundheitsfelder (ab 4. Oktober 2026): Löscht der Betrieb den Datensatz einer Klientin ohne Konto, verschwindet der Datensatz sofort aus der aktiven Liste; nach 30 Tagen werden zusammen mit Identitäts- und Kontaktdaten auch die Gesundheitsfelder der Klientin (Blutgruppe, Allergien, chronische Erkrankungen, Medikamente) gelöscht bzw. geleert. Die Aufbewahrungsregeln für Anamnesebögen, Messwerte und Einheitsnotizen sind von dieser Bestimmung nicht berührt.

Belegdateien (ab 4. Oktober 2026): Belegdateien, die keiner Zahlung zugeordnet sind (verwaiste Belege), werden nach 7 Tagen automatisch gelöscht; ein einer Zahlung zugeordneter Beleg kann von keiner Rolle gelöscht werden.

Kontaktdaten der Klient:innen im Supportmodus (ab 4. Oktober 2026): In der Support-Sitzung von Corenta (Super-Admin) werden dem Supportpersonal E-Mail und Telefonnummer der Klient:innen nicht angezeigt; es sieht nur eine begrenzte Identitätsübersicht (Name, Kontostatus, Aktivität, Erstellungsdatum).

Schreibrecht für Gesundheitsfelder (ab 4. Oktober 2026): In die Gesundheitsfelder (Blutgruppe, Allergien, chronische Erkrankungen, Medikamente) dürfen nur die Klientin selbst und die zugeteilte Fachkraft schreiben; Inhaber:in oder Leitung des Betriebs können diese Felder nicht beschreiben (wohl aber Notfallkontakt und Identitätsfelder bearbeiten).

Pseudonymisierte Produktmessung: Zur Verbesserung des Produkts können zusammengefasste Nutzungsereignisse nur serverseitig und mit einer pseudonymen Praxiskennung gemessen werden; diese Messung enthält keine IP-Adresse, keine Gesundheitsdaten und kein Herkunfts- oder Werbe-Tracking. Die pseudonyme Praxiskennung ist ein Pseudonym (nicht identitätslos). Die Funktion ist derzeit abgeschaltet.

5.1. Phase 1 — Sofortiges logisches Löschen (Soft Delete)

Sobald die Nutzer:in den Antrag auf Kontolöschung in der App bestätigt, führt das System folgende Vorgänge gleichzeitig und sofort aus:

1. Der Profildatensatz der Nutzer:in wird durch Befüllen des Felds deleted_at deaktiviert; das Konto ist für die normale Nutzung nicht mehr zugänglich/sichtbar und kann nicht mehr zur Anmeldung verwendet werden.
2. Ausstehende (noch nicht stattgefundene) Termine der Nutzer:in werden automatisch abgesagt.
3. Zuordnungen, in denen die Nutzer:in als Fachkraft/Ressource geführt ist (Zuordnungen Klient:in–Fachkraft, Programmzuweisungen), werden entfernt.
4. Alle Einwilligungen der Nutzer:in werden widerrufen (erfasst durch Befüllen des Felds revoked_at in den Einträgen consent_logs).

In dieser Phase werden die Daten nicht physisch gelöscht, aber für normale Verarbeitungs- und Anzeigezwecke unzugänglich gemacht. Das ist der erste Schritt des Löschverfahrens im Sinne des "Unzugänglichmachens" nach Art. 7 KVKK und der Verordnung.

5.2. Phase 2 — Endgültige Löschung (nach 30 Tagen)

30 (dreißig) Tage nach dem logischen Löschen führt ein automatisch im System laufender geplanter Job (Cron-Job) folgende Vorgänge unumkehrbar aus:

1. Der Authentifizierungseintrag der Nutzer:in (auth.users) wird endgültig und unumkehrbar gelöscht.
2. Die mit der Nutzer:in verknüpften Datenbankeinträge werden je nach Kategorie unterschiedlich behandelt: Einträge ohne eigenständigen betrieblichen oder Beweiswert (z. B. Mitteilungen) werden endgültig gelöscht (DELETE/Cascade); Gesundheitsdaten (anamnesis_forms, session_notes, measurements) sowie klinische/finanzielle Einträge (payments, attendance, consent_logs) hingegen werden nicht gelöscht; der Personenbezug wird aufgehoben: Die Verknüpfung mit der Person wird auf Datenbankebene getrennt, einige Freitextfelder werden bereinigt, und der Eintrag bleibt als Datensatz des Tenants ohne Personenbezug mit eingeschränktem Zugriff bestehen (da der freie Text von Einheitsnotizen nicht verändert wird, gilt er nicht als anonym) (siehe Abschnitt 4, Nr. 2–5, 8, 10 und Abschnitt 6.2).
3. Dieser Vorgang wird nur automatisch vom privilegierten Hintergrundprozess des Systems (geschützt durch service-role) ausgelöst; keine Nutzer:in, auch nicht das Verwaltungspersonal, und keine Betriebsleitung kann diesen Ablauf über die normalen Produktoberflächen manuell starten, vorziehen oder anhalten — eine bewusste Sicherheitsentscheidung, um verfrühte oder verspätete Löschungen durch Versehen oder Missbrauch zu verhindern. (Diese Zusicherung umfasst die normalen Nutzer- und Verwaltungsoberflächen des Produkts; technische Betriebsprozesse, die auf privilegierter Infrastrukturebene direkten Datenbankzugriff haben können, fallen nicht darunter und unterliegen gesonderten internen Zugriffskontrollen.)

Zweck des 30-tägigen Hintergrundprozesses (ab 4. Oktober 2026): Da der Zugang zum Konto mit dem Löschantrag sofort endet, eröffnet diese Frist keine Möglichkeit zum Rückgängigmachen oder Widerruf; sie dient dem Abschluss der endgültigen Löschung von Authentifizierungseintrag und Dateien und einer möglichen Missbrauchsprüfung. Es handelt sich um eine angemessene und begrenzte Frist im Einklang mit dem Verhältnismäßigkeitsgrundsatz nach Art. 5 KVKK. Auskunft zum Stand eines Löschantrags gibt es über hello@corenta.app.

5.3. Ausnahme: Daten mit gesetzlicher Aufbewahrungspflicht

Das oben beschriebene 30-tägige Verfahren der endgültigen Löschung umfasst nicht die in Abschnitt 4, Tabelle Nr. 6 (Abo-/Transaktionsmetadaten) genannten Einträge, für die nach dem türkischen Handelsgesetzbuch bzw. Steuerverfahrensgesetz eine gesetzliche Aufbewahrungspflicht besteht. Diese Einträge werden auch nach endgültiger Kontolöschung bis zum Ablauf der jeweiligen gesetzlichen Aufbewahrungsfrist gesondert aufbewahrt, vom Zweck der Verarbeitung personenbezogener Daten getrennt und mit Zugriff nur zur Erfüllung der gesetzlichen Pflicht. Ebenso können Prüfprotokolle (audit_logs) und der für Beweiszwecke erforderliche Mindestkern der Einwilligungsnachweise (siehe Abschnitt 4, Nr. 7–8) aus Gründen des berechtigten Interesses bzw. der rechtlichen Beweisführung außerhalb dieser 30-Tage-Frist zu einem gesonderten, begrenzten Zweck weiter aufbewahrt werden. In Abschnitt 4, Hinweis 2, ist ausdrücklich festgehalten, dass die Fristen dieser Ausnahme keinem automatisch im System angewandten technischen Mechanismus entsprechen.

5.4. Besondere Erläuterung zu gespeicherten Dateianhängen (wichtig — Transparenz)

Im Sinne der Transparenz wird ausdrücklich festgehalten: Bei der endgültigen Löschung werden die Datenbankeinträge (Profil, Termine, Zuordnungen, Einwilligungen usw.) vollständig gelöscht oder (bei Gesundheits-, Klinik- und Finanzdaten, siehe Abschnitt 6.2) anonymisiert; die Dateianhänge der Nutzer:in, die in einem separaten Speicherbereich (Storage) liegen, werden wie folgt behandelt: Avatar/Profilfoto, an den Anamnesebogen angehängte Dokumente/Fotos und das Bild des Zahlungsbelegs werden im Rahmen der endgültigen Löschung automatisch (Best-Effort) aus dem Storage gelöscht — ein geprüftes Verhalten, das heute tatsächlich im System läuft. Scheitert die Löschung in einem Bucket, wird dies protokolliert; die Bereinigung der übrigen Buckets und die Anonymisierungs-/Löschschritte des Kontos werden dadurch aber nicht verhindert (Best-Effort-Design).

Offene Grenze: Die einzige Dateikategorie außerhalb dieses automatischen Ablaufs sind die Identitäts-/Diplomnachweise zur Verifizierung, die bei der Registrierung als Fachkraft/Einzelfachkraft hochgeladen werden (Bucket specialist-verification-docs). Diese Nachweise sind technisch nicht der Nutzer:in, sondern dem Verifizierungsverfahren des jeweiligen Tenants (der Praxis) zugeordnet und tragen im Datenbankeintrag keinen Nutzerbezug; deshalb können sie nicht automatisch in den bestehenden Ablauf der Nutzerkontolöschung einbezogen werden. Die Beseitigung dieses Nachweises wird gesondert im Verfahren behandelt, in dem die Praxis ihr Konto bzw. Abo auf Tenant-Ebene schließt (siehe Abschnitt 5.6); bis dahin werden Ausnahmeanträge über hello@corenta.app von Hand geprüft.

Diese Richtlinie gibt daher keine absolute Zusicherung, dass mit dem Antrag auf Kontolöschung "alle Daten/Dateien der Nutzer:in vollständig und sofort gelöscht werden" (insbesondere wegen technischer Reste in Sicherungen, siehe Abschnitt 6.3, und wegen der obigen Ausnahme); für die oben beschriebenen Dateikategorien wird die automatische Löschung jedoch tatsächlich angewandt.

5.5. Besonderer Hinweis zu Gesundheitsdaten

Auch Gesundheitsdaten besonderer Kategorien wie Anamnesebögen, Einheitsnotizen und Messwerte unterliegen dem obigen allgemeinen Löschablauf (logisches Löschen → 30 Tage → endgültige Löschung); wie in Abschnitt 4, Nr. 2–4, und Abschnitt 6.2 erläutert, wird der Schritt der endgültigen Löschung in diesen Tabellen jedoch durch Aufhebung des Personenbezugs und teilweise Bereinigung umgesetzt: Der Datensatz wird nicht per DELETE gelöscht, die Verknüpfung mit der Person wird getrennt und einige Freitextfelder werden bereinigt; der klinische Datensatz (insbesondere der Append-only-Inhalt von Einheitsnotizen) wird als Datensatz des Tenants ohne Personenbezug mit eingeschränktem Zugriff aufbewahrt und gilt nicht als anonym. Da diese Datenkategorie zudem mit den Unterlagen verflochten ist, die die Praxis als Verantwortlicher führt, kann der Antrag einer Klientin auf Konto- bzw. Datenlöschung mit den eigenen gesetzlichen Aufbewahrungspflichten der Praxis kollidieren (etwa Dokumentationspflichten aus den Vorschriften über die Erbringung von Gesundheitsleistungen); die Methode der Aufhebung des Personenbezugs mit eingeschränkter Aufbewahrung soll beide Pflichten ausgleichen (die Rechte der Klientin an ihren personenbezogenen Daten und die Dokumentationspflicht der Praxis). In solchen Fällen entscheidet abschließend die Praxis als Verantwortlicher; Corenta handelt nach den Weisungen der Praxis.

5.6. Löschung auf Ebene der Praxis (Tenant)

Beendet eine Praxis ihr Corenta-Abo vollständig, wird für die Tenant-Daten der Praxis und alle Klientendatensätze unter diesem Tenant dieselbe zweistufige Architektur (logisches Löschen → 30 Tage → endgültige Löschung) angewandt. Da die Praxis Verantwortlicher für die Daten ihrer eigenen Klient:innen ist, muss sie diese vor Beendigung des Abos im Rahmen ihrer eigenen KVKK-Pflichten informieren; diese Pflicht kann nicht auf Corenta übertragen werden.

5.7. Verhältnis zum Supportmodus des Super-Admins (Impersonation)

Kontolöschung und Aufbewahrung laufen unabhängig vom Support-/Impersonation-Mechanismus von Corenta. Impersonation-Sitzungen sind zeitlich begrenzt (30 Minuten) und standardmäßig nur lesend; der Zugriff auf Gesundheitsdatenkategorien (Anamnese, Einheitsnotizen, Messwerte) erfordert einen gesonderten Freigabeschritt (health_data_enabled), und Schreib-/Löschvorgänge in diesen Tabellen sind über Impersonation unter keinen Umständen erlaubt (die RLS-Richtlinien sehen keinerlei Ausnahme für Impersonation vor). Klarstellung: Diese Einschränkung betrifft von Menschen ausgelöste Impersonation-Sitzungen, in denen sich Supportpersonal anmeldet und von Hand handelt; der in Abschnitt 5.2 beschriebene automatische Service-Role-Cron-Prozess (ohne menschlichen Eingriff) ist eine davon getrennte Ebene und von dieser Einschränkung nicht betroffen — die Impersonation-Einschränkung verhindert den automatischen Mechanismus der endgültigen Löschung im Kontolöschungsablauf nicht und ist nicht mit ihm zu verwechseln. Kontolöschung und Datenbeseitigung erfolgen daher ausschließlich über die in dieser Richtlinie festgelegten automatischen Mechanismen.

6. Beseitigungsmethoden

Nach Art. 8 ff. der Verordnung werden im Folgenden die je nach Speichermedium angewandten Methoden des Löschens, Vernichtens und Anonymisierens beschrieben.

6.1. Löschen

Vorgang, durch den personenbezogene Daten für die betreffenden Nutzer:innen (einschließlich App-Nutzer:innen und Personal mit Zugang zum Admin-Panel) in keiner Weise mehr zugänglich und wiederverwendbar sind. Bei Corenta wird diese Methode im logischen Löschen der Phase 1 angewandt: Die Daten werden zwar nicht physisch aus der Datenbank entfernt, sind aber über Zugriffsrechte und Oberflächen vollständig unzugänglich.

6.2. Vernichten (endgültige Löschung)

Vorgang, durch den personenbezogene Daten für niemanden mehr in irgendeiner Weise zugänglich, wiederherstellbar und wiederverwendbar sind. In der endgültigen Löschung der Phase 2 von Corenta wird dieser Grundsatz je nach Datenkategorie mit zwei verschiedenen technischen Methoden umgesetzt:

• Authentifizierungseintrag und Einträge ohne eigenständigen betrieblichen Wert: Der Authentifizierungseintrag der Nutzer:in (auth.users) wird im durch service-role geschützten automatischen Prozess direkt per DELETE unumkehrbar gelöscht; verknüpfte Einträge, die nach der Kontolöschung für sich keinen betrieblichen oder Beweiswert haben (z. B. Mitteilungen, notifications — siehe Abschnitt 4, Nr. 10), werden auf Datenbankebene per ON DELETE CASCADE mitgelöscht.
• Gesundheits-, Klinik- und Finanzdaten: Für anamnesis_forms, session_notes, measurements, payments, attendance und consent_logs wird der Schritt der endgültigen Löschung statt durch DELETE des Datensatzes durch Aufhebung des Personenbezugs und teilweise Bereinigung (siehe Abschnitt 6.6) umgesetzt: Fremdschlüsselspalten, die die Person identifizieren (client_id, specialist_id, user_id usw.), werden über die FK-Bedingung ON DELETE SET NULL unumkehrbar auf NULL gesetzt; Inhaltsspalten, die eine ausdrückliche Identität oder personenbezogene Daten im Freitext enthalten können (Anamnese-Antworten, Freitextnotizen zu Messwerten/Zahlungen, Verweis auf den Zahlungsbeleg, IP-Adresse des Einwilligungseintrags), werden durch die Funktion anonymize_user_relations() (nur durch service-role aufrufbar, standardmäßig verweigert) bereinigt oder durch eine anonyme Markierung ersetzt. Numerische und zeitliche Klinik-/Finanzinhalte (Datum, Betrag, Messwert, restliches Einheitenguthaben, Status erschienen/nicht erschienen, Zeitpunkt der Erteilung/des Widerrufs einer Einwilligung) bleiben dagegen wegen der Dokumentationspflicht der Praxis und (bei Einheitsnotizen) des Append-only-Grundsatzes als Datensatz des Tenants ohne Personenbezug erhalten; da der freie Text von Einheitsnotizen nicht verändert wird, gelten diese Einträge nicht als anonym und werden mit eingeschränktem Zugriff aufbewahrt.

Bei Einheitsnotizen (session_notes) lässt die Append-only-Sperre keine Inhaltsänderung zu; es gibt nur eine eng begrenzte Ausnahme, die ausschließlich das Setzen der Personenbezugsspalten (client_id, specialist_id) auf NULL erlaubt — der Inhalt der Notiz wird auch in diesem Verfahren in keiner Phase gelöscht oder verändert.

Grenze: Für personenbezogene Daten im Fließtext von Freitextfeldern außerhalb der ausdrücklichen Identitätsspalten (z. B. ein Name im Text einer Einheitsnotiz) gibt es keinen Such-/Bereinigungsmechanismus. Diese Einträge gelten daher nicht als anonym; sie werden als personenbezogene Daten mit eingeschränktem Zugriff aufbewahrt und nach Fristablauf beseitigt.

Da beide Methoden durch service-role geschützt sind, können sie über die normalen Produktoberflächen weder ausgelöst noch rückgängig gemacht werden.

6.3. Löschen aus Sicherungen (Backups)

Datenbanksicherungen werden im Rahmen des üblichen Sicherungszyklus (Rotation) nach einer gewissen Zeit automatisch überschrieben/beseitigt. Die endgültige Löschung wirkt in der Hauptdatenbank sofort; es wird jedoch ausdrücklich darauf hingewiesen, dass die Daten in zuvor erstellten Sicherungen technisch bis zum Ablauf der Standard-Rotationsfrist des Sicherungsanbieters (Supabase) fortbestehen können. Dies ist die übliche Praxis im Rahmen des Auftragsverarbeitungsvertrags (DPA) des betreffenden Unterauftragsverarbeiters (Supabase).

6.4. Anhänge im Dateispeicher (Storage)

Von Nutzer:innen hochgeladene Dateien wie Avatarbilder, Zahlungsbelege und Anamnese-Anhänge liegen in einem separaten Speicherbereich (Storage). Siehe Abschnitt 5.4 — dort ist der aktuelle Stand dieser Inhalte im Kontolöschungsablauf (automatische Löschung von Avatar, Anamnese-Anhang und Zahlungsbeleg, specialist-verification-docs als einzige Ausnahme) ausführlich und transparent erläutert.

6.5. Daten in Papierform

Die im Rahmen des SaaS-Produkts von Corenta verarbeiteten personenbezogenen Daten werden digital geführt; eine Verarbeitung personenbezogener Daten in Papierform ist nicht vorgesehen. Verwendet das Unternehmen ausnahmsweise Papier im geschäftlichen/administrativen Schriftverkehr, erfolgt die Beseitigung unumkehrbar durch Schwärzen, Verbrennen oder Zerkleinern mit einem Aktenvernichter.

6.6. Anonymisieren

Im Rahmen der endgültigen Kontolöschung (siehe Abschnitt 6.2) wendet Corenta auf Gesundheitsdaten sowie Klinik- und Finanzdaten die Methode der Aufhebung des Personenbezugs und teilweisen Bereinigung an. Da der freie Text von Einheitsnotizen nicht verändert wird und in kleinen Betrieben Datums- und Messreihen ausreichen können, um die Person wiederzuerkennen, erfüllt diese Methode den unten beschriebenen Anonymisierungsstandard nicht in jedem Fall; diese Einträge gelten nicht als anonym, werden als personenbezogene Daten mit eingeschränktem Zugriff aufbewahrt und nach Fristablauf beseitigt. Darüber hinaus kann Corenta für Produktentwicklung, statistische Auswertung oder Marktforschung Daten verwenden, die so anonymisiert sind, dass sie keiner identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können. Anonymisierung setzt voraus, dass die Daten auch in Verbindung mit anderen Daten unumkehrbar keiner Person mehr zugeordnet werden können; Maskierung/Pseudonymisierung, die diesen Standard nicht erreicht, gilt nicht als Anonymisierung und unterliegt weiter dem Regime der Verarbeitung personenbezogener Daten. Anonymisierte Daten fallen nicht unter das KVKK und unterliegen nicht den Begrenzungen der Aufbewahrungsfristen dieser Richtlinie.

6.7. Wahl der Methode

Die anzuwendende Beseitigungsmethode wird von Corenta und/oder der Praxis unter Berücksichtigung der Art der Daten (ob besondere Kategorie oder nicht), des Speichermediums (Datenbank, Dateispeicher, Protokollsystem, Sicherungssystem), der rechtlichen und technischen Möglichkeiten sowie der in den Kurul-Beschlüssen und der Verordnung genannten Grundsätze bestimmt. Bei der Beseitigung besonderer Kategorien personenbezogener Daten (einschließlich Gesundheitsdaten) wird größtmögliche Sorgfalt angewandt.

7. Regelmäßige Löschung

Nach Art. 11 der Verordnung ist Corenta verpflichtet, personenbezogene Daten, deren Aufbewahrungsfrist abgelaufen ist und/oder deren Verarbeitungszweck entfallen ist, von Amts wegen (ohne Antrag) zu löschen, zu vernichten oder zu anonymisieren; die dafür vorzusehende Frist der regelmäßigen Löschung darf 6 (sechs) Monate nicht überschreiten. In diesem Rahmen wird im Folgenden klar zwischen Mechanismen unterschieden, die heute tatsächlich im System laufen, und solchen, die es nicht tun:

1. Das Verfahren der endgültigen Löschung 30 Tage nach dem Antrag auf Kontolöschung wird durch einen automatischen geplanten Job (Cron-Job) regelmäßig (täglich) geprüft, und abgelaufene Konten werden gesammelt verarbeitet. Dies ist eine geprüfte Automatisierung, die heute tatsächlich im System läuft.
2. Die für Prüfprotokolle (audit_logs) vorgesehene Aufbewahrungsfrist wird regelmäßig überprüft; ein Löschmechanismus, der diese Überprüfung automatisch umsetzt, ist derzeit jedoch nicht umgesetzt (siehe Abschnitt 4, Nr. 7).
3. Die für Daten aus dem Formular für den frühen Zugang festgelegte Höchstaufbewahrungsfrist (siehe Abschnitt 4, Nr. 9) ist ein Bezugspunkt für die rechtliche Obergrenze der Pflicht zur regelmäßigen Löschung nach Art. 11 der Verordnung; einen dieser Frist entsprechenden, automatisch im System laufenden Prüf-/Löschmechanismus gibt es derzeit jedoch nicht. Für diese Datenkategorie wird die Löschung/Anonymisierung bis zur Einführung einer Automatisierung von Hand und auf Antrag geprüft (siehe Abschnitt 4, Hinweis 2). Dieser Punkt wird im Einklang mit den übrigen nicht geprüften Automatisierungsaussagen (siehe Ziffern 2 und 4) transparent gehalten.
4. Die gesonderte automatische und regelmäßige Bereinigung abgelaufener/ungültiger Push-Token ist eine im Produktfahrplan geplante Verbesserung; es ist technisch nicht geprüft, dass dieser Mechanismus heute tatsächlich im System läuft (siehe Abschnitt 4, Nr. 10). Sobald er geprüft oder eingeführt ist, wird diese Richtlinie aktualisiert.
5. Halbjährliche regelmäßige Löschung: Für die Kategorien dieses Abschnitts ohne automatische Beseitigung (Prüfprotokolle, Einwilligungsnachweise ohne Personenbezug, Daten aus dem Formular für den frühen Zugang, Verifizierungsnachweise von Fachkräften, Moderationskopien von Gruppennachrichten) führt Corenta alle 6 Monate eine regelmäßige Löschung durch und erstellt für jeden Zyklus ein Löschprotokoll. Zeitgesteuerte Jobs, die diese Zyklen automatisieren, gibt es noch nicht; die Zyklen werden von Hand durchgeführt.

Die regelmäßige Löschung hindert die betroffene Person unabhängig von den in dieser Richtlinie genannten Fristen nicht daran, nach Art. 11 KVKK einen individuellen Antrag auf Löschung/Vernichtung zu stellen; auch vor Ablauf der Aufbewahrungsfrist kann die betroffene Person die Löschung verlangen, wenn die Rechtsgrundlage der betreffenden Verarbeitung entfallen ist (z. B. durch Widerruf der Einwilligung). Auch für Kategorien, deren Automatisierung noch nicht umgesetzt ist, wird ein individueller Antrag der betroffenen Person über hello@corenta.app von Hand geprüft und abgeschlossen.

8. Rechte der betroffenen Person und Antragsverfahren (Art. 11 KVKK)

8.1. Rechte nach Artikel 11 KVKK

Nach Art. 11 KVKK haben betroffene Personen folgende Rechte:

1. zu erfahren, ob ihre personenbezogenen Daten verarbeitet werden,
2. Auskunft darüber zu verlangen, falls ihre personenbezogenen Daten verarbeitet wurden,
3. den Zweck der Verarbeitung zu erfahren und ob die Daten zweckentsprechend verwendet werden,
4. die Dritten im In- oder Ausland zu kennen, an die die personenbezogenen Daten übermittelt wurden,
5. die Berichtigung unvollständig oder unrichtig verarbeiteter personenbezogener Daten zu verlangen,
6. die Löschung oder Vernichtung personenbezogener Daten im Rahmen von Art. 7 KVKK zu verlangen,
7. zu verlangen, dass die nach (5) und (6) vorgenommenen Maßnahmen den Dritten mitgeteilt werden, an die die personenbezogenen Daten übermittelt wurden,
8. einem für die Person nachteiligen Ergebnis zu widersprechen, das durch die ausschließlich automatisierte Auswertung der verarbeiteten Daten entsteht,
9. Ersatz eines Schadens zu verlangen, der durch die rechtswidrige Verarbeitung personenbezogener Daten entstanden ist.

8.2. Ehrliche Zusammenfassung der aktuellen technischen Umsetzung

Die folgenden Punkte sind als ehrliche und realistische Zusammenfassung der aktuellen technischen Umsetzung zu verstehen:

• Löschantrag (Kontolöschung): Kann direkt im entsprechenden Einstellungsmenü der mobilen App gestellt werden; der Antrag wird automatisch über das in Abschnitt 5 beschriebene zweistufige Verfahren (sofortiges logisches Löschen → 30 Tage → endgültige Löschung) erfüllt (Art. 11/6).
• Auskunftsantrag / Datenübertragbarkeit: Wird erfüllt, indem der betroffenen Person die Daten aus ihrem eigenen Tenant-Bereich in einem strukturierten, maschinenlesbaren Format innerhalb angemessener Zeit bereitgestellt werden (Funktion export_user_data, Tenant-Bereich geprüft). Der Übergabemechanismus (Dateiformat, Übergabeweg, Funktionen wie ein signierter Download-Link) wird laufend weiterentwickelt; im Rahmen dieser Richtlinie wird keine bestimmte Übergabefrist und kein bestimmtes Datei- oder Zugriffsformat zugesagt (Art. 11/1-2).
• Auskunft über Übermittlungen an Dritte (Art. 11/4): Angaben zu den Dritten/Unterauftragsverarbeitern im In- oder Ausland, an die personenbezogene Daten übermittelt werden, finden sich in der Tabelle in Abschnitt 11 (Unterauftragsverarbeiter und Speicherort der Daten) dieser Richtlinie.
• Berichtigungsantrag (Art. 11/5): Kann technisch von Hand über das Verwaltungspanel der Praxis umgesetzt werden; einen gesonderten automatischen Ablauf für "Berichtigungsanträge" gibt es nicht. Im Kontext des SaaS-Produkts sind Berichtigungsanträge zu Klientendaten zuerst an die betreffende Praxis zu richten; Corenta leistet als Auftragsverarbeiter nach den Weisungen der Praxis technische Unterstützung.
• Mitteilung an Dritte (Art. 11/7): Der Antrag, Lösch-/Berichtigungsmaßnahmen den empfangenden Dritten mitzuteilen, wird geprüft, wenn er über die im Antragsverfahren genannten Kanäle eingeht; dieser Ablauf erfolgt derzeit nicht automatisch, sondern von Hand.
• Widerspruch gegen automatisierte Entscheidungen/Profiling (Art. 11/8): Im System gibt es keine automatisierte Entscheidungsfindung oder Profilbildung, die durch ausschließlich automatisierte Auswertung der verarbeiteten Daten ein für die betroffene Person nachteiliges Ergebnis herbeiführt; ein gesonderter, aktiv betriebener Widerspruchsmechanismus ist für diesen Punkt daher derzeit nicht erforderlich.
• Anträge werden nach Art. 13 KVKK innerhalb von höchstens 30 Tagen kostenlos abgeschlossen (verursacht die Bearbeitung zusätzliche Kosten, kann die Gebühr nach der vom Kurul festgelegten Tabelle verlangt werden).

8.3. Antragsverfahren

Anträge zu den oben genannten Rechten können

• an die E-Mail-Adresse hello@corenta.app,
• über die entsprechenden Einstellungs-/Supportbildschirme in der App
• oder auf den sonstigen im KVKK vorgesehenen Wegen

an Corenta gerichtet werden.

Wichtiger Hinweis zu Klientendaten: Bist du Klient:in einer Praxis und möchtest einen Antrag zu deinen Daten stellen, wende dich zuerst an die betreffende Praxis (Verantwortlicher); denn für Klientendaten entscheidet letztlich die Praxis und ist Ansprechpartnerin. Corenta stellt als Auftragsverarbeiter nach den Weisungen der Praxis die nötigen technischen Werkzeuge bereit (Funktionen zum Anzeigen, Exportieren und Löschen von Daten).

9. Rollen und Verantwortlichkeiten

10. Sicherheitsmaßnahmen (während der Aufbewahrungsfrist)

Während der Aufbewahrungsfrist werden personenbezogene Daten durch folgende technische und organisatorische Maßnahmen geschützt (Art. 12 KVKK):

• In der mandantenfähigen Architektur (Multi-Tenant) gelten eine Pflicht zu tenant_id in jeder Tabelle und der Grundsatz standardmäßiger Verweigerung (Default-Deny) über Sicherheitsrichtlinien auf Zeilenebene (Row Level Security) (37/37 Tabellen, 86 Richtlinien); ein Datenabfluss zwischen Mandanten wird so technisch verhindert.
• Der Zugriff auf Tabellen mit Gesundheitsdaten ist auf die betreffende Klientin, die zugeteilte Fachkraft und den Tenant-Admin beschränkt; die Zugriffskontrolle greift auf Datenbankebene (RLS). Einheitsnotizen können nach dem Absenden nicht geändert/gelöscht werden (Append-only); für Anamnesebögen hat keine Nutzer:in (auch kein Admin) ein Löschrecht.
• Der Supportmodus des Super-Admins (Impersonation) ist zeitlich begrenzt (30 Minuten) und standardmäßig nur lesend; Schreibvorgänge und der Zugriff auf Gesundheitsdaten unterliegen gesonderten Schritten mit zusätzlicher Freigabe; in keinem Impersonation-Szenario wird Schreibzugriff auf Gesundheitsdatentabellen geöffnet. (Diese Einschränkung betrifft von Menschen ausgelöste Impersonation-Sitzungen; automatische Service-Role-Cron-Prozesse sind eine eigene Ebene — siehe Abschnitt 5.7.)
• Bei der Datenübertragung wird Ende-zu-Ende-Verschlüsselung (TLS) eingesetzt; in der mobilen App werden Sitzungstoken verschlüsselt im hardwaregestützten sicheren Schlüsselspeicher des Geräts (Keychain/Keystore) abgelegt.
• Auf sensiblen Bildschirmen wurden technische Maßnahmen zur Einschränkung von Screenshots getroffen.
• Für Super-Admin-Konten ist die Zwei-Faktor-Authentifizierung (2FA/MFA) Pflicht.
• Die kryptografische Signaturprüfung von Mitteilungen (Webhooks) zu Zahlungsvorgängen ist in der Architektur vorgesehen und wird angewandt; die Arbeiten zur vollständigen Konfiguration/Schlüsselverwaltung in allen Umgebungen (einschließlich Produktion) laufen noch.
• Diese Sicherheitsmaßnahmen werden laufend überprüft und verbessert; keine technische Maßnahme garantiert jedoch absolute Sicherheit, und im Rahmen dieser Richtlinie wird keine absolute Sicherheitszusage gegeben.

11. Unterauftragsverarbeiter und Speicherort der Daten

Während der Aufbewahrungsfrist werden personenbezogene Daten über die folgenden Unterauftragsverarbeiter/Dienstleister verarbeitet oder gehostet. In den Verträgen mit diesen Anbietern sind Pflichten vorgesehen, die Daten nur zur Erbringung der jeweiligen Leistung zu verarbeiten; dieses Verhältnis betrifft nicht die Aufbewahrungsfristen, sondern die technische Umgebung, in der die Daten liegen — die Umsetzung einer Beseitigungsentscheidung erfolgt technisch auch bei diesen Anbietern. Die folgende Tabelle beantwortet zugleich das Recht nach Art. 11/4 KVKK, "die Dritten zu kennen, an die Daten übermittelt wurden":

Ergänzend:

• E-Mail-Infrastruktur: Service-E-Mails werden über Google Workspace (Google) versandt; Authentifizierungs-E-Mails löst Supabase Auth aus. Werbe-E-Mails werden nur mit gesonderter Einwilligung und İYS-Eintragung versandt. Push-Mitteilungen werden über Apple (APNs) und Google (FCM) zugestellt.
• Analysewerkzeug: Es wird kein Analysewerkzeug Dritter (z. B. Google Analytics) eingesetzt. Eine In-App-Messung der Produktnutzung ist derzeit nicht aktiv; wird sie aktiviert, schreibt die Messung in eine eigene Tabelle in der Datenbank von Corenta (Supabase, Frankfurt/Deutschland), enthält keine Gesundheitsdaten und keinen Freitext, und diese Richtlinie wird vor der Aktivierung aktualisiert; nach der Aktivierung wird die Aufbewahrungsfrist der Messeinträge in dieser Richtlinie angegeben.
• Fehlerüberwachung: Es wird kein Fehlerüberwachungswerkzeug Dritter eingesetzt; Client-Fehler werden in der eigenen Datenbank von Corenta erfasst.
• Eine Infrastruktur für direkte Kreditkartenzahlungen über das Web gibt es nicht; Zahlungen erfolgen ausschließlich über die In-App-Kaufmechanismen (IAP) von Apple/Google; die abschließende Rechnung bzw. den Beleg stellen Apple/Google aus (siehe Abschnitt 4, Nr. 6).

Daten werden an die oben genannten Unterauftragsverarbeiter nur in dem Umfang weitergegeben, der zur Erbringung der jeweiligen Leistung erforderlich ist, und im Rahmen von Art. 8/Art. 9 KVKK. Übermittlung ins Ausland: Alle oben genannten Anbieter verarbeiten Daten außerhalb der Türkei; auch das Hosting in Deutschland ist eine Übermittlung ins Ausland im Sinne des KVKK. Da diese Übermittlungen regelmäßig und dauerhaft erfolgen, stützen sie sich nicht auf eine ausdrückliche Einwilligung; sie werden nach Art. 9/4-c auf die vom Kurul veröffentlichten Standardverträge gestützt. Zum Datum dieses Texts sind die Standardverträge noch nicht unterzeichnet und dem Kurul noch nicht gemeldet; jeder Vertrag wird dem Kurul innerhalb von 5 Arbeitstagen nach Unterzeichnung gemeldet, und diese Tabelle wird mit den Daten aktualisiert. Einen Angemessenheitsbeschluss des Kurul zu diesen Ländern gibt es nicht (letzte Prüfung: 11. Oktober 2026). Diese Liste kann sich bei Anbieterwechseln ändern; die aktuelle Liste ist in der Datenschutzerklärung und/oder auf dem entsprechenden Informationsbildschirm im Produkt Corenta einsehbar.

12. Eintragung im VERBİS

Teta Studio ist zum Datum dieses Dokuments nicht im VERBİS eingetragen. Die Eintragungspflicht wird anhand der Kriterien der Kurul-Beschlüsse Nr. 2025/1572 (für Verantwortliche, deren Haupttätigkeit die Verarbeitung besonderer Kategorien von Daten ist, Befreiungsschwelle von 10 Beschäftigten und 10 Mio. TL Jahresbilanz) und Nr. 2025/2393 (Kriterium der Beschäftigtenzahl für Unternehmen, die keine Bücher nach dem Bilanzprinzip führen) geprüft. Da Teta Studio die Gesundheitsdaten der Praxen nicht als Verantwortlicher, sondern als Auftragsverarbeiter verarbeitet, erfolgt die Prüfung anhand dieser Kriterien für die eigenen Tätigkeiten als Verantwortlicher (Teile A und C). Sobald die schriftliche Bewertung und die Bestätigung durch die Kurum (ALO 198) vorliegen, wird dieser Abschnitt mit Datum und Begründung aktualisiert; ist eine Eintragung erforderlich, erfolgt sie vor Fortsetzung der Tätigkeit.

Klarstellung nach Rollen: Die VERBİS-Eintragungspflicht wird für den Kontext der Unternehmenswebsite (Formular für den frühen Zugang auf corenta.app) geprüft, in dem Corenta als Verantwortlicher handelt; der Stand ist oben dargestellt. Im Kontext des SaaS-Produkts (app.corenta.app) ist die Praxis Verantwortlicher für die Klientendaten; ob dort eine VERBİS-Eintragungspflicht besteht, ist für jede Praxis gesondert und unabhängig nach ihren eigenen Kriterien (Beschäftigtenzahl, jährliches Verarbeitungsvolumen, Tätigkeitsbereich, Befreiungsbeschlüsse des Kurul usw.) zu prüfen; diese Prüfung und eine etwaige Eintragungspflicht liegen bei der Praxis und können nicht auf Corenta übertragen werden.

13. Aktualisierung der Richtlinie

Diese Richtlinie kann aufgrund von Rechtsänderungen, Kurul-Beschlüssen, Weiterentwicklungen der technischen Infrastruktur von Corenta (z. B. die in Abschnitt 4 Nr. 3 und Abschnitt 6.2 genannte Suche nach personenbezogenen Daten im Freitext von Einheitsnotizen, die in Abschnitt 5.4/Abschnitt 4 Nr. 11 genannte Anbindung der Verifizierungsnachweise von Fachkräften (specialist-verification-docs) an das Schließen des Tenants, die in Abschnitt 4 Nr. 10 und Abschnitt 7 Ziffer 4 genannte Prüfung/Einführung der Push-Token-Bereinigung, der in Abschnitt 7 Ziffer 3 genannte automatische Prüfmechanismus für Daten aus dem Formular für den frühen Zugang, die in Abschnitt 8.2 genannte Weiterentwicklung der Datenübertragbarkeit, die Vervollständigung der Rechtsgrundlagen für Übermittlungen ins Ausland in Abschnitt 11, Änderungen der Liste der Unterauftragsverarbeiter) oder Änderungen der Geschäftsprozesse aktualisiert werden. Die aktuelle Fassung wird auf den Plattformen von Corenta veröffentlicht (Unternehmenswebsite und/oder in der App); bei Bestimmungen, die der früheren Fassung widersprechen, ist die aktuelle Fassung maßgeblich. Bei wesentlichen Änderungen werden Nutzer:innen bzw. Praxen, soweit möglich, zusätzlich informiert.

14. Kontakt

Bei Fragen zu dieser Richtlinie oder zur Aufbewahrung/Beseitigung personenbezogener Daten:

E-Mail: hello@corenta.app Verantwortlicher: Mertcan Demir — Einzelunternehmen unter dem Handelsnamen "Teta Studio" Support: support@corenta.app Geltungsbereich des Dienstes: Corenta wird weltweit über den App Store und Google Play angeboten, in den Ländern, in denen diese Stores verfügbar sind. Die Fristen dieser Richtlinie gelten für Nutzer:innen in jedem Land; sieht das zwingende Recht eines Landes eine kürzere Löschfrist oder eine längere Aufbewahrungspflicht vor, gilt diese Bestimmung.

Letzte Aktualisierung: 19. Oktober 2026 Version 1.9 · 19. Oktober 2026