Datenschutzerklärung

Lumen.Med

LumenGXP Limited · Dublin, Irland

Version 1.0 · Stand: 12. Juni 2026

1. Präambel und Geltungsbereich

Die LumenGXP Limited (nachfolgend „LumenMedical DE" oder „wir") betreibt unter der Domain lumen.med eine Telemedizin-Plattform für den deutschen Markt mit Schwerpunkt auf der medizinischen Versorgung mit cannabinoid-basierten Arzneimitteln. Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten wir bei der Nutzung unserer Website und unserer Dienste verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht, sowie welche Rechte Ihnen hierbei zustehen.

Diese Datenschutzerklärung gilt für die Website lumen.med einschließlich aller Unterseiten sowie für den darüber abgewickelten Bestell- und Behandlungsprozess. Sie gilt nicht für externe Webseiten Dritter, auf die wir lediglich verweisen.

Wir verarbeiten Ihre personenbezogenen Daten im Einklang mit der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO"), dem deutschen Bundesdatenschutzgesetz („BDSG") sowie dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz („TDDDG"). Für Verarbeitungen, die die gemeinsame Verantwortlichkeit mit der CannaCapital Group AG (Schweiz) betreffen (siehe Ziffer 9), wird zusätzlich der Angemessenheitsbeschluss der Europäischen Kommission zur Schweiz zugrunde gelegt.

2. Verantwortliche und gemeinsame Verantwortlichkeit

2.1 Verantwortlicher für die Website und die Bestellabwicklung

Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten auf der Website und im Rahmen der telemedizinischen Leistungserbringung ist:

Firma: LumenGXP Limited

Rechtsform: Private Company Limited by Shares (Irland)

Sitz: The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Irland

CRO-Nummer: 815856

Director: Larry Kinsbergen

Website: https://lumen.med

E-Mail Datenschutz: datenschutz@lumen.med

Vertreter nach Art. 27 DSGVO: Nicht erforderlich — die LumenGXP Limited ist mit Sitz in Irland in der Europäischen Union niedergelassen; ein Vertreter nach Art. 27 DSGVO ist nur für nicht in der Union niedergelassene Verantwortliche zu benennen.

2.2 Gemeinsame Verantwortlichkeit für das gruppenweite CRM

Für die Verarbeitung Ihrer Kontakt- und Bestelldaten im gruppenweiten CRM-System der CannaCapital-Gruppe (siehe Ziffer 9) sind die LumenGXP Limited und die CannaCapital Group AG gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO. Die CannaCapital Group AG verarbeitet und pflegt das CRM-System zentral für die Gruppe.

Firma: CannaCapital Group AG

Sitz: Bahnhofstrasse 3, CH-8808 Pfäffikon, Schweiz

UID: CHE-184.577.501

Geschäftsführer: David Roth

E-Mail Datenschutz: datenschutz@cannacapital.ch

Gemeinsame Anlaufstelle

Sie können Ihre Rechte nach der DSGVO gegenüber jedem der beiden Verantwortlichen geltend machen. Als zentrale Anlaufstelle für Betroffenenrechte im Zusammenhang mit dem gruppenweiten CRM wurde die CannaCapital Group AG benannt (datenschutz@cannacapital.ch). Für alle anderen Verarbeitungen auf der Website und im Rahmen der telemedizinischen Leistungserbringung bleibt die LumenGXP Limited ausschließlich zuständig.

3. Datenschutzbeauftragter

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie unsere Datenschutz-Kontaktstelle unter datenschutz@lumen.med. Die Kontaktdaten des Datenschutzbeauftragten der LumenGXP Limited veröffentlichen wir nach dessen Benennung an dieser Stelle.

4. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

Auskunftsrecht (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten
Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO), insbesondere bei Wegfall des Verarbeitungszwecks
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), insbesondere im Fall der Verarbeitung aufgrund berechtigter Interessen oder zu Zwecken der Direktwerbung
Recht auf jederzeitigen Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft
Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die unter Ziffer 2 genannten Kontaktadressen. Zuständige Aufsichtsbehörden sind:

Deutschland (Aufsicht Dienstleister und operative Tätigkeit): Sie können sich an die Datenschutzaufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden (Art. 77 Abs. 1 DSGVO), in Deutschland an die Landesbeauftragte / den Landesbeauftragten für Datenschutz Ihres Bundeslandes.

Irland (federführende Behörde nach One-Stop-Shop): Data Protection Commission, 21 Fitzwilliam Square South, Dublin 2, D02 RD28

Schweiz (für CCG AG): Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, CH-3003 Bern

5. Bereitstellung der Website und Server-Logdateien

Beim Aufruf der Website werden durch unseren Hosting-Dienstleister automatisch Informationen (sogenannte Server-Logdateien) erhoben und temporär in einer Logdatei gespeichert. Ohne Ihr Zutun werden bis zur automatisierten Löschung folgende Daten erfasst:

IP-Adresse des anfragenden Endgeräts
Datum und Uhrzeit des Zugriffs
Name und URL der abgerufenen Datei
Webseite, von der aus der Zugriff erfolgt (Referrer-URL)
Verwendeter Browser und ggf. das Betriebssystem Ihres Rechners sowie der Name Ihres Access-Providers

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Gewährleistung eines reibungslosen Verbindungsaufbaus, einer komfortablen Nutzung unserer Website, der Auswertung der Systemsicherheit und -stabilität sowie zu weiteren administrativen Zwecken.

Speicherdauer: Die Daten werden nach spätestens sieben Tagen automatisch gelöscht, sofern sie nicht aus Sicherheitsgründen (z. B. zur Aufklärung von Missbrauchs- oder Betrugshandlungen) länger aufbewahrt werden müssen.

5.1 Hosting / Shopify

Unsere Website wird auf der E-Commerce-Plattform Shopify gehostet, betrieben von der Shopify International Limited, Victoria Buildings, 1-2 Haddington Road, Dublin 4, D04 XN32, Irland („Shopify"). Shopify stellt die technische Infrastruktur bereit und verarbeitet in diesem Rahmen personenbezogene Daten als Auftragsverarbeiter nach Art. 28 DSGVO für uns.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-durchführung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem effizienten und sicheren Hosting).

Shopify kann Daten auch in Drittländer, insbesondere in die USA und nach Kanada, übermitteln. Soweit dies in die USA geschieht, stützen wir uns auf das EU-US Data Privacy Framework und/oder auf EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (siehe Ziffer 10).

Weitere Informationen: https://www.shopify.com/legal/privacy

6. Cookies und vergleichbare Technologien

Auf unserer Website setzen wir Cookies und vergleichbare Technologien (z. B. Local Storage, Pixel-Tags) ein. Bei Cookies handelt es sich um kleine Textdateien, die auf Ihrem Endgerät gespeichert werden.

Wir unterscheiden:

Technisch notwendige Cookies, die für den Betrieb der Website und die Durchführung der von Ihnen angefragten Dienste erforderlich sind (z. B. Warenkorb, Login, Sprachauswahl).
Einwilligungspflichtige Cookies, die der Analyse, dem Marketing oder dem Profiling dienen (z. B. Google Analytics).

Die Speicherung technisch notwendiger Cookies erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO. Alle sonstigen Cookies und Technologien setzen wir ausschließlich nach Ihrer ausdrücklichen Einwilligung ein (§ 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Cookie-Einstellungen im Footer der Website aufrufen.

7. Einzelne Verarbeitungen auf der Website

7.1 Bestellprozess (Shopify)

Wenn Sie über unsere Website eine Bestellung auslösen, erfassen wir die zur Vertragsabwicklung notwendigen Daten. Zwingend erforderlich sind die in der Eingabemaske als Pflichtfelder gekennzeichneten Angaben. Darüber hinaus können Sie freiwillig weitere Angaben machen.

Zwecke der Verarbeitung

Identifizierung als Kunde
Abwicklung, Abrechnung und Abbildung Ihrer Bestellung
Weiterleitung der ärztlichen Verschreibung an die von Ihnen gewählte Apotheke und Unterstützung der Zustellung auf den gesetzlich zulässigen Wegen
Korrespondenz, Kundenkontakt und Customer Support
Bonitäts-/Betrugsprüfung im erforderlichen Maß
Erfüllung gesetzlicher Aufbewahrungspflichten, insbesondere nach HGB und AO

Datenkategorien

Kontaktdaten (Name, Anschrift, E-Mail, Telefonnummer)
Geburtsdatum (zur Altersverifikation)
Ausweisdaten (Foto eines gültigen amtlichen Lichtbildausweises zur einmaligen Identitäts- und Altersprüfung bei der Registrierung; Löschung nach Abschluss der Prüfung, soweit keine gesetzliche Aufbewahrungspflicht besteht)
Zahlungsdaten (ggf. Name des Zahlungsanbieters; Zahlungskartendaten werden ausschließlich beim jeweiligen Zahlungsdienstleister verarbeitet)
Bestelldaten (Produkte, Menge, Preis, Datum)
Kommunikationsdaten (z. B. Supportanfragen)

Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen
Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen (z. B. handels- und steuerrechtliche Aufbewahrung)
Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen an Betrugsprävention und Systemintegrität

Empfänger

Shopify International Limited (Auftragsverarbeiter, Hosting und Shop-Infrastruktur)
Zahlungsdienstleister (z. B. Mollie B.V., Niederlande; ggf. weitere — siehe Zahlungsprozess)
Die von Ihnen frei gewählte Apotheke (zur Rezepteinlösung und Belieferung) — nur im Rahmen der medizinischen Versorgung, auf Grundlage Ihrer Einwilligung und eines gesonderten Datenschutzvertrags mit der jeweiligen Apotheke
Steuer- und Buchhaltungsdienstleister im gesetzlich erforderlichen Rahmen
CannaCapital Group AG im Rahmen des gruppenweiten CRM (siehe Ziffer 9) — ausschließlich Kontakt- und Bestelldaten, keine Gesundheitsdaten

7.2 Telemedizinische Leistung und Rezeptausstellung (RxScale)

Für die Durchführung der ärztlichen Konsultation, die Auswertung des medizinischen Fragebogens und die Ausstellung eines Rezepts setzen wir die Praxissoftware RxScale ein, betrieben von der RxScale GmbH, Hildastraße 10, 69469 Weinheim, Deutschland, vertreten durch Harald Hobbelhagen, USt-IdNr. DE360532511 („RxScale"). Die behandelnden Ärztinnen und Ärzte sind für die ärztliche Behandlungsdokumentation datenschutzrechtlich eigenständig verantwortlich; die RxScale GmbH verarbeitet personenbezogene Daten insoweit als Auftragsverarbeiter nach Art. 28 DSGVO.

Zwecke der Verarbeitung

Durchführung der telemedizinischen Konsultation
Anamnese und ärztliche Bewertung auf Basis eines medizinischen Fragebogens
Ausstellung und Übermittlung eines (E-)Rezepts an die Partnerapotheke
Dokumentations- und Aufbewahrungspflichten nach Berufsrecht (§ 10 MBO-Ä) und Patientenrechtegesetz

Datenkategorien — besondere Kategorien nach Art. 9 DSGVO

Gesundheitsdaten (Angaben zum Gesundheitszustand, Symptome, Vorerkrankungen, Medikation, Therapieverlauf)
Behandlungsdaten (Diagnose, Therapieempfehlungen, ausgestellte Rezepte)
Identifikationsdaten (Name, Geburtsdatum, Anschrift, ggf. Versichertennummer)

Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO — Durchführung des Behandlungsvertrags
Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG — Gesundheitsversorgung durch ärztliches Personal
Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 10 MBO-Ä und § 630f BGB — gesetzliche Dokumentationspflicht

Speicherdauer

Patientenakten und Behandlungsunterlagen werden nach § 630f Abs. 3 BGB grundsätzlich zehn Jahre nach Abschluss der Behandlung aufbewahrt. Längere Aufbewahrungsfristen können sich aus berufsrechtlichen Vorschriften oder dem Betäubungsmittelgesetz/BtMVV ergeben.

Wichtig: Gesundheits- und Behandlungsdaten, die über RxScale erhoben werden, werden nicht in das gruppenweite CRM der CannaCapital Group AG übermittelt. Die Trennung dieser Datenbestände ist technisch und organisatorisch sichergestellt.

7.3 Google Analytics

Wir setzen — vorbehaltlich Ihrer Einwilligung — Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Google Analytics verwendet Cookies und ähnliche Technologien, die eine Analyse der Benutzung der Website ermöglichen.

Zwecke

Analyse der Nutzung und Reichweite unserer Website
Optimierung des Angebots und der Nutzererfahrung
Conversion- und Funnel-Analyse

Datenkategorien

Gekürzte IP-Adresse (IP-Anonymisierung ist standardmäßig aktiviert)
Geräte- und Browserinformationen
Referrer-URL und Ausstiegsseite
Besuchsdauer, Seitenaufrufe, Interaktionen
Pseudonyme Nutzerkennung (Client-ID)

Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), die Sie über unseren Cookie-Banner erteilen und jederzeit widerrufen können.

Empfänger und Drittlandübermittlung: Google kann Daten in die USA übermitteln. Wir stützen diese Übermittlung auf das EU-US Data Privacy Framework (Google LLC ist zertifiziert) sowie auf die von Google angebotenen EU-Standardvertragsklauseln.

Speicherdauer: Die von Google Analytics auf Nutzerebene erhobenen Daten werden nach 14 Monaten automatisch gelöscht.

Opt-out: Sie können die Erfassung durch Google Analytics neben dem Widerruf im Cookie-Banner auch durch das Browser-Add-on verhindern: https://tools.google.com/dlpage/gaoptout.

7.4 Kontaktaufnahme

Wenn Sie uns per E-Mail, Kontaktformular oder Customer-Support-Kanal (z. B. Gorgias) kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und — falls sich daraus ein Vertrag ergibt — zur Vertragsabwicklung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen bzw. Art. 6 Abs. 1 lit. f DSGVO bei sonstigen Anliegen (berechtigtes Interesse an der Bearbeitung von Anfragen).

7.5 Newsletter und E-Mail-Marketing (Brevo)

Für den Versand von Newslettern, Transaktions- und Marketing-E-Mails setzen wir den Dienst Brevo ein, betrieben von der Sendinblue SAS (firmiert als Brevo), 106 Boulevard Haussmann, 75008 Paris, Frankreich („Brevo"). Brevo verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich in unserem Auftrag und mit Serverstandorten in der Europäischen Union.

Zwecke der Verarbeitung

Versand von Newslettern und Marketing-Mailings (z. B. neue Produkte, Informationen zur Telemedizin, Angebote anderer CCG-Gesellschaften — nach gesonderter Einwilligung, siehe Ziffer 9)
Versand von Transaktions-E-Mails (z. B. Bestellbestätigung, Versandbenachrichtigung, Status-Updates zur Telekonsultation)
Reichweiten- und Erfolgsanalyse von Mailings (Öffnungs- und Klickraten, Bouncing) zur Optimierung unserer Kommunikation
Segmentierung der Empfängerlisten, abgestimmt mit den im CRM gepflegten Kontaktdaten

Datenkategorien

E-Mail-Adresse, Anrede, Vor- und Nachname
Zeitpunkt der Anmeldung, IP-Adresse zum Zeitpunkt der Anmeldung und der Bestätigung (Double-Opt-in)
Interaktionsdaten (Öffnung, Klicks, Bounces, Abmeldung)
Segmentierungsmerkmale wie Kundenstatus oder bevorzugte Sprache

Rechtsgrundlage

Marketing- und Newsletter-Mails: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung, erteilt im Double-Opt-in-Verfahren). Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder Nachricht oder per E-Mail an datenschutz@lumen.med widerrufen.
Transaktions-E-Mails im Rahmen einer Bestellung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Erfolgsmessung der Marketing-Mailings: Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Optimierung der Kundenkommunikation), soweit dies in der Einwilligung mit umfasst ist.

Die für den Mailversand genutzten Daten werden bis zu Ihrem Widerruf bzw. zur Abmeldung vom Newsletter gespeichert. Nach Abmeldung speichern wir Ihre E-Mail-Adresse zum Nachweis der erteilten Einwilligung sowie zur Vermeidung erneuter Anschreiben in einer internen Sperrliste.

Weitere Informationen zum Datenschutz bei Brevo finden Sie unter https://www.brevo.com/de/legal/privacypolicy/.

8. Zahlungsabwicklung

Für die Abwicklung von Zahlungen greifen wir auf externe Zahlungsdienstleister zurück. Die Auswahl der verfügbaren Zahlungsarten sehen Sie im Checkout. Die von Ihnen eingegebenen Zahlungsdaten (z. B. Kreditkartennummer) werden ausschließlich an den jeweiligen Zahlungsdienstleister übermittelt und dort verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande
Über Mollie stehen Ihnen die im Checkout angezeigten Zahlungsarten zur Verfügung (z. B. Klarna, Überweisung, Pay by Bank); die Verarbeitung erfolgt durch Mollie und den jeweiligen Zahlungsanbieter.

9. Gruppenweites CRM der CannaCapital-Gruppe

Die LumenGXP Limited und die CannaCapital Group AG (im Folgenden „CCG-Gruppe") führen ein gruppenweites CRM-System, das von der CannaCapital Group AG in der Schweiz zentral betrieben und gepflegt wird. Die Verarbeitung in diesem CRM erfolgt auf Basis gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO zwischen LumenGXP Ltd. und CannaCapital Group AG.

9.1 Zwecke der Verarbeitung im CRM

Zentrale, gruppenweite Verwaltung von Kunden- und Interessentenbeziehungen
Vermeidung von Doppelansprachen und Verbesserung der Kundenerfahrung über die Gruppe hinweg
Analyse von Kundenstrukturen auf aggregierter Ebene
Information über ergänzende Produkte und Leistungen anderer CCG-Gesellschaften (z. B. TruHC, LumenMedical CH, Pfauen Apotheke) — soweit Sie hierin gesondert einwilligen
Identifikation möglicher gegenseitiger Geschäftsbeziehungen zwischen den Gesellschaften der CCG-Gruppe (z. B. B2B-Ansprache als potentieller Lieferant oder Partner)

9.2 Datenkategorien im CRM

In das gruppenweite CRM werden ausschließlich Kontakt- und Bestelldaten übertragen. Gesundheitsdaten, Diagnosen, Rezeptinformationen und alle weiteren Daten aus RxScale werden nicht in das CRM übernommen und nicht an die CannaCapital Group AG oder andere Gesellschaften der Gruppe übermittelt.

Konkret werden folgende Daten in das CRM aufgenommen:

Vor- und Nachname
Rechnungs- und Lieferanschrift
E-Mail-Adresse und Telefonnummer
Kundenkennung und Kunden-Status (z. B. Bestand/Interessent)
Bestellhistorie auf Produktebene ohne Diagnose-/Therapiebezug (Produktbezeichnung, Menge, Datum, Bestellwert)
Kommunikationshistorie aus Customer-Support-Kanälen, soweit keine Gesundheitsdaten enthalten sind

9.3 Rechtsgrundlagen

Für die Übertragung und Grundverwaltung im CRM: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der CCG-Gruppe an einer effizienten, gruppenweiten Kundenbetreuung und internen Verwaltung; Erwägungsgrund 48 DSGVO — Konzernprivileg)
Für werbliche Ansprache und Querverweis auf Angebote anderer CCG-Gesellschaften: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung), die wir über eine gesonderte Opt-in-Checkbox bei Registrierung oder im Kundenkonto einholen

9.4 Empfänger innerhalb der CCG-Gruppe

Folgende Gesellschaften der CCG-Gruppe haben rollenbasiert Zugriff auf Daten des gemeinsamen CRM:

CannaCapital Group AG (Schweiz) — als administrierende Gesellschaft; Vollzugriff zur CRM-Pflege
LumenMedical DE (LumenGXP Limited, Irland) — Zugriff auf eigene Kunden
LumenMedical CH (Kingsclinic AG, Schweiz) — nur nach ausdrücklicher Einwilligung für Querverweise
TruHC GmbH (Deutschland) — nur nach ausdrücklicher Einwilligung, B2B-Kontext
Pfauen Apotheke (Schweiz) — nur nach ausdrücklicher Einwilligung
Brevo / Sendinblue SAS (Frankreich) — als Auftragsverarbeiter, sofern CRM-Daten zum Mailversand synchronisiert werden

Weitere Gesellschaften der Gruppe können hinzukommen. Eine jeweils aktuelle Liste stellen wir auf Anfrage und im Rahmen der Joint-Controller-Informationen nach Art. 26 Abs. 2 DSGVO bereit.

9.5 Speicherdauer im CRM

Daten im CRM werden so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist, längstens jedoch bis zum Widerspruch oder Widerruf. Bestelldaten werden unabhängig davon zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten für 10 Jahre vorgehalten. Nach 24 Monaten Inaktivität prüfen wir regelmäßig die Erforderlichkeit der weiteren Speicherung.

9.6 Ihre Rechte speziell im CRM-Kontext

Sie können der werblichen Nutzung Ihrer Daten im Rahmen des gruppenweiten CRM jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO), insbesondere dem Erhalt von Angeboten anderer CCG-Gesellschaften
Sie können Ihre für die Marketingzwecke erteilte Einwilligung jederzeit über Ihr Kundenkonto oder per E-Mail an datenschutz@lumen.med oder datenschutz@cannacapital.ch widerrufen
Auskunfts-, Berichtigungs- und Löschungsanträge im CRM-Kontext können Sie bei beiden Verantwortlichen geltend machen

10. Übermittlung in Drittländer

Einige der in dieser Datenschutzerklärung genannten Verarbeitungen erfolgen außerhalb der Europäischen Union / des Europäischen Wirtschaftsraums (EWR). Wir gewährleisten in jedem Fall ein angemessenes Datenschutzniveau nach Art. 44 ff. DSGVO.

Schweiz: Die CannaCapital Group AG hat ihren Sitz in der Schweiz. Die Europäische Kommission hat mit Beschluss vom 26.07.2000 (2000/518/EG) festgestellt, dass die Schweiz ein angemessenes Datenschutzniveau gewährleistet (Angemessenheitsbeschluss nach Art. 45 DSGVO). Für die Übermittlung an die CCG AG bedarf es daher keiner zusätzlichen Garantien.

USA (Google, ggf. weitere): Übermittlungen in die USA stützen wir primär auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023) bei DPF-zertifizierten Empfängern. Ergänzend setzen wir EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO inklusive eines Transfer Impact Assessments und zusätzlicher technischer und organisatorischer Maßnahmen ein.

Sonstige Drittländer: Soweit weitere Drittlandübermittlungen notwendig werden, informieren wir Sie gesondert und stellen Garantien nach Art. 46 DSGVO sicher. Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Für die einzelnen Verarbeitungen gelten die in den vorstehenden Ziffern genannten Speicherfristen. Zusammenfassend:

Server-Logdateien: max. 7 Tage

Bestelldaten (Shopify): 10 Jahre (HGB/AO)

Patientenakte / Behandlungsdaten (RxScale): mindestens 10 Jahre (§ 630f BGB)

Google Analytics: 14 Monate

CRM (CCG): bis Widerruf/Widerspruch, regelmäßige Prüfung nach 24 Monaten Inaktivität

Newsletter-Einwilligung: bis Widerruf

Kontaktanfragen: bis zur endgültigen Bearbeitung, max. 3 Jahre

12. Automatisierte Entscheidungsfindung und Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Insbesondere werden ärztliche Entscheidungen über die Verordnung cannabinoid-basierter Arzneimittel stets durch einen approbierten Arzt getroffen.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Die jeweils aktuelle Version ist unter lumen.med/datenschutz abrufbar. Wesentliche Änderungen, insbesondere zu eingesetzten Diensten oder Empfängerkreisen, kommunizieren wir zusätzlich per E-Mail oder Hinweis in Ihrem Kundenkonto.

Stand dieser Datenschutzerklärung: 12. Juni 2026 (Version 1.0)