Datenschutzerklärung · gynxtra GmbH

1 · Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung im Sinne von Art. 5 lit. j revDSG:

gynxtra GmbH
Höschgasse 50, 8008 Zürich
Schweiz
UID: CH-020.4.078.662-7

Ärztliche Leitung und Bewilligungsinhaberin: Dr. med. Bettina von Seefried, FMH Gynäkologie

Datenschutz-Anfragen: hello@gynxtra.ch

2 · Welche Daten wir bearbeiten

2.1 Identifikations- und Kontaktdaten

Name, Vorname, Geburtsdatum, Postadresse, E-Mail-Adresse, Telefonnummer (optional, nur bei WhatsApp-Opt-In), Profilbild (optional).

2.2 Gesundheitsdaten (besonders schützenswerte Personendaten gemäss Art. 5 lit. c revDSG)

• Anamnesedaten (familiäre und persönliche Krankengeschichte, Symptome, Lifestyle)
• Symptom- und Wohlbefinden-Tracking (Schlaf, Energie, Stimmung, Hitzewallungen, Libido)
• Körpermasse und Vitalwerte (Gewicht, Blutdruck, ggf. weitere)
• Laborwerte (Hormonspiegel, HbA1c, Lipidprofil, Vitamin D, weitere indizierte Marker)
• Verschriebene Medikamente, Dosierungen, Einnahmen-Adhärenz, Nebenwirkungen
• Konsultations-Aufzeichnungen (ärztliche Notizen, Behandlungsplan, Bericht, Arztzeugnis)
• Off-Label-Aufklärungen und unterzeichnete Einwilligungen

2.3 Nutzungs- und Interaktionsdaten

• Login- und Session-Daten im Patient-Cockpit
• Interaktion mit Inhalten (Klick-Pfade, Funktionsnutzung)
• Geräteinformationen (Browser, Betriebssystem, IP-Adresse - gekürzt verarbeitet)

2.4 Zahlungsdaten

• Vor- und Nachname, Adresse zur Rechnungsstellung
• Stripe-Transaktions-IDs (Kartendetails werden direkt von Stripe verarbeitet und sind für gynxtra nicht einsehbar)

2.5 Kommunikationsdaten

• E-Mail- und WhatsApp-Verlauf (bei Opt-In)
• Video-Call-Metadaten (Daily.co · Dauer, Zeitpunkt - kein Aufzeichnungs-Inhalt ohne separate Einwilligung)

3 · Zwecke der Datenbearbeitung

4 · Empfänger und Subprocessor-Liste

Wir setzen folgende Dienstleister ein. Mit allen besteht ein Auftragsbearbeitungsvertrag (Data Processing Agreement, DPA):

5 · Drittländertransfers

Einige Subprocessor verarbeiten Daten ausserhalb der Schweiz / EU. Der Transfer erfolgt auf Basis folgender Mechanismen gemäss Art. 16 f. revDSG:

• USA: Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF, in Kraft seit 14.9.2024) für DPF-zertifizierte Empfänger. Bei nicht-zertifizierten Empfängern zusätzlich EU-Standardvertragsklauseln (SCC) inklusive Transfer Impact Assessment (TIA).
• EU / EWR (Irland, Deutschland, Schweden): Angemessener Datenschutz gemäss Anhang 1 DSV (Verordnung zum revDSG) - kein zusätzlicher Mechanismus erforderlich.
• Singapur (respond.io): Kein Angemessenheitsbeschluss - Transfer auf Basis EU-Standardvertragsklauseln (SCC) sowie ausdrücklicher Einwilligung der Patientin im WhatsApp-Opt-In.
• Zusätzliche technische und organisatorische Massnahmen: Pseudonymisierung wo möglich, Verschlüsselung im Transit (TLS 1.3) und at-rest (AES-256).

6 · Aufbewahrungsfristen

• Patientenakte (Gesundheitsdaten): mindestens 10 Jahre nach letzter Behandlung (kantonales Gesundheitsrecht, HMG)
• Vertragsdaten / Buchhaltung: 10 Jahre (OR Art. 958f)
• Marketing- und Analytics-Daten: maximal 24 Monate
• Nicht-medizinische Kommunikation (Support): 24 Monate
• Nach Ablauf werden Daten gelöscht oder anonymisiert

7 · Ihre Rechte

Als betroffene Person haben Sie gemäss revDSG (sowie ggf. DSGVO) folgende Rechte:

• Auskunft über die zu Ihrer Person bearbeiteten Daten (Art. 25 revDSG)
• Berichtigung unrichtiger Daten
• Löschung Ihrer Daten (soweit keine gesetzliche Aufbewahrungspflicht entgegensteht)
• Einschränkung der Bearbeitung
• Datenportabilität in maschinenlesbarem Format
• Widerruf erteilter Einwilligungen (Wirkung für die Zukunft)
• Beschwerde beim EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter), Feldeggweg 1, 3003 Bern

Anfragen richten Sie an hello@gynxtra.ch. Wir bearbeiten Anfragen innerhalb von 30 Tagen.

8 · Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen:

• Verschlüsselung im Transit (TLS 1.3) und at-rest (AES-256 in Supabase Storage)
• Row-Level-Security auf Datenbankebene
• Audit-Logs für sensitive Aktionen (Rezeptausstellung, Plan-Änderungen, Off-Label-Consents)
• Rollenbasierte Zugriffskontrolle (Patient, Coach, Doctor, Admin)
• Regelmässige Sicherheits-Reviews
• Verpflichtung aller Mitarbeitenden und Auftragsverarbeiter auf das ärztliche Berufsgeheimnis bzw. Verschwiegenheit

9 · Cookies und Tracking

Auf unserer Website gynxtra.ch setzen wir technisch notwendige Cookies (Session, Authentifizierung). Optionale Analytics-Cookies (PostHog, anonymisiert) werden nur nach explizitem Opt-In im Cookie-Banner aktiviert.

Cookie-Einstellungen sind jederzeit über den Footer-Link "Cookie-Einstellungen" anpassbar.

10 · Automatisierte Entscheidungen

Behandlungsentscheidungen werden ausschliesslich von qualifizierten Ärztinnen getroffen. Wir setzen keine vollautomatisierten Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 21 revDSG ein.

Der vorgelagerte Fit-Check (Eligibility-Triage) basiert auf einem regelbasierten Algorithmus, der prüft ob die Patientin die Voraussetzungen für ein Assessment erfüllt (Alter, Wohnsitz, Ausschlusskriterien). Bei ablehnendem Ergebnis hat die Patientin das Recht, eine Überprüfung durch eine Ärztin zu verlangen (Art. 21 Abs. 2 revDSG). Anfragen unter hello@gynxtra.ch.

KI-gestützte Funktionen (z.B. Vorbereitung von Berichten, Symptom-Klassifikation) dienen ausschliesslich als Hilfsmittel; die finale ärztliche Beurteilung erfolgt manuell.

11 · Werbung und Marketing

• Patient-Cockpit-bezogene Kommunikation (Termin-Erinnerungen, Refill, Adhärenz) ist Vertragsbestandteil und unterliegt nicht dem Marketing-Consent.
• Newsletter und produktbezogenes Marketing erfolgen nur nach separatem Opt-In.
• Jede Marketing-E-Mail enthält einen 1-Klick-Abmelde-Link.

12 · Änderungen der Datenschutzerklärung

Wir können diese Erklärung anpassen, insbesondere bei rechtlichen oder technischen Änderungen. Wesentliche Änderungen werden im Cockpit angekündigt und treten 30 Tage nach Ankündigung in Kraft.

Aktuelle Version stets abrufbar unter: gynxtra.ch/legal/datenschutz

13 · Kontakt

Datenschutz-Anfragen:
gynxtra GmbH · Datenschutz
Höschgasse 50, 8008 Zürich, Schweiz
hello@gynxtra.ch

Aufsichtsbehörde Schweiz:
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern
www.edoeb.admin.ch