Datenschutzerklärung — « Carnet »

Diese Seite gibt die deutsche Höflichkeitsübersetzung der Datenschutzerklärung wieder; sie wird bei jeder Veröffentlichung aus ihrer Quelle neu erzeugt. Massgebend ist allein der französische Text: französisches Original. Online-Version der Anwendung: v1.5.1 (veröffentlicht am 11.10.2026).

Unverbindliche Übersetzung — massgebend ist allein der französische Text. Diese Übersetzung der französischen Datenschutzerklärung in der Version 2026-10-12 dient nur dem Verständnis (Höflichkeitsübersetzung). Rechtlich verbindlich ist ausschliesslich das französische Original (« Politique de confidentialité »); bei Abweichungen oder Auslegungsfragen geht der französische Text vor. Schweizer Erlasse werden mit den Abkürzungen der deutschen Fassung des Bundesrechts zitiert: DSG (frz. LPD), DSV (OPDo), OR (CO), ZGB (CC), StGB (CP), KVG (LAMal), KLV (OPAS), DBG (LIFD), PrHG (LRFP). Seiten mit dem Vermerk « auf Französisch » liegen nur auf Französisch vor.

Diese Erklärung beschreibt, was die Software TATSÄCHLICH tut, in ihrem Stand am unten angegebenen Datum. Sie wird bei jeder Weiterentwicklung des Produkts nachgeführt: Wenn sich die Software ändert, ändert sich dieser Text in derselben Auslieferung.

Herausgeber / verantwortlich für diese Erklärung David Lambrecht, Einzelunternehmen, nicht im Handelsregister eingetragen, UID CHE-457.668.373, Rue du Bourg 55, 3960 Sierre (Kanton Wallis), Schweiz. Kontakt für den Datenschutz: — Telefon: +41 77 276 96 99. Der Herausgeber ist in der Schweiz niedergelassen: Die Bezeichnung einer Vertretung in der Schweiz im Sinne von Art. 14 DSG, die nur Verantwortliche mit Sitz oder Wohnsitz im Ausland betrifft, entfällt.

Verantwortliche Person für den Schutz personenbezogener Informationen (Québec, Art. 3.1 des Gesetzes über den Schutz personenbezogener Informationen im Privatsektor, « Loi sur la protection des renseignements personnels dans le secteur privé », RLRQ c. P-39.1): David Lambrecht, Herausgeber, die Person mit der höchsten Autorität im Unternehmen — , +41 77 276 96 99, Rue du Bourg 55, 3960 Sierre, Schweiz.

Verkauf ausserhalb der Schweiz. Ausserhalb der Schweiz wird der verwaltete Dienst von Paddle.com Market Limited verkauft, dem offiziellen Wiederverkäufer, in den Ländern, welche die Preisseite (auf Französisch) als offen bezeichnet. Sie bezahlen mit Karte, im Zahlungsformular von Paddle, das das Zahlungsmodul von Paddle (Paddle.js) auf der Seite carnet.health/paiement/ anzeigt; Paddle erhebt Ihre Zahlungsdaten selbst; der Herausgeber übermittelt Paddle nur die undurchsichtige Kennung Ihres Synchronisierungskontos (Abschnitt 5.3). In der Schweiz verkauft der Herausgeber selbst, mit QR-Rechnung. In Frankreich wird der verwaltete Dienst nicht verkauft (5.3).

Version: 2026-10-12, in Kraft seit dem 12. Oktober 2026 (ersetzt die früheren Versionen, darunter 2026-10-11, 2026-10-10, 2026-10-09, 2026-10-08, 2026-10-03, 2026-09-28, 2026-09-24c, 2026-09-24b, 2026-09-24, 2026-09-23c, 2026-09-23b, 2026-09-23, 2026-09-10, 2026-09-09, 2026-08-20 und 2026-08-07). Anwendbares Recht: Schweizer Recht (DSG, SR 235.1; DSV, SR 235.11).

DSGVO. Der Herausgeber ist in der Schweiz niedergelassen. Er bietet den verwalteten Dienst Fachpersonen an, die in den Ländern des Europäischen Wirtschaftsraums (Europäische Union, Island, Liechtenstein, Norwegen) tätig sind, welche die Preisseite als offen bezeichnet: Die Verordnung (EU) 2016/679 (DSGVO) gilt daher für die Bearbeitungen im Zusammenhang mit diesem Angebot (Art. 3 Abs. 2 Bst. a DSGVO), und im Vereinigten Königreich die DSGVO in ihrer Übernahme ins britische Recht. Abschnitt 8 bis fasst zusammen, was diese Texte Ihnen mitzuteilen verlangen. Der Herausgeber hat keinen Vertreter in der Union bestellt im Sinne von Art. 27 DSGVO (auch nicht im Vereinigten Königreich): Wenden Sie sich direkt an ihn (Abschnitt 13.1).

Argentinien, Chile, Panama, Uruguay. Der Herausgeber bietet den verwalteten Dienst auch Fachpersonen an, die in Argentinien, Chile, Panama und Uruguay tätig sind. Für die Bearbeitungen im Zusammenhang mit diesem Angebot wendet er, im Rahmen ihres Geltungsbereichs, das argentinische Gesetz 25.326 über den Schutz personenbezogener Daten an; das chilenische Gesetz 19.628 und, ab seinem Inkrafttreten, das chilenische Gesetz 21.719, das auch für den im Ausland niedergelassenen Verantwortlichen gilt, der Personen in Chile Dienstleistungen anbietet (Art. 1 bis); das uruguayische Gesetz 18.331, das namentlich für den ausländischen Verantwortlichen gilt, der Einwohnerinnen und Einwohnern Uruguays Dienstleistungen anbietet (Gesetz 19.670, Art. 37); und das panamaische Gesetz 81 von 2019. Abschnitt 8 ter fasst zusammen, was diese Gesetze Ihnen mitzuteilen verlangen.

Was diese Version ergänzt: Sie hält fest, dass kein Wiederherstellungskontakt mehr hinzugefügt werden kann; ein bereits bezeichneter Kontakt bleibt widerrufbar (Abschnitt 4.4). Sonst ändert sich nichts.

Was die Version vom 11. Oktober 2026 ergänzt hat: die Abrechnung nach Tarif 334 im Tiers payant von Leistungen der Unfallversicherung (UVG), der Invalidenversicherung (IV) oder der Militärversicherung (MV): Die Rechnung geht mit der Schadennummer oder der IV-Verfügungsnummer an den Versicherer des Falls, jeweils auf ihrer eigenen gesetzlichen Grundlage, und die Patientin bzw. der Patient erhält in der IV, wie im KVG, eine Kopie davon (Abschnitte 2.1, 3, 4.3, 5.1 und 5.2); sie hält zudem fest, dass sich die Übermittlung der Rechnung an MediData nach den Nutzungsbedingungen von MediData richtet (Abschnitt 5.2). Sonst änderte sie nichts.

Was die Version vom 9. Oktober 2026 ergänzt hat: den Verkauf des verwalteten Dienstes ausserhalb der Schweiz durch Paddle, den offiziellen Wiederverkäufer (Abschnitte 1.5, 2.2, 3 und 5.3), mit der Zahlungsseite carnet.health/paiement/, der einzigen Seite von Carnet, die ein Skript eines Dritten lädt (2.4, 5.3, 12.1); die Angaben nach der DSGVO für Fachpersonen im Europäischen Wirtschaftsraum und im Vereinigten Königreich (Abschnitt 8 bis) sowie jene nach den Gesetzen Argentiniens, Chiles, Panamas und Uruguays (Abschnitt 8 ter); den Austritt aus dem Vertrag und die bestätigte Löschung, wie sie programmiert sind (7.5, 7.6); das lesbare Journal und die Datei der Metadaten Ihres Kontos (8.2). Für die Schweiz änderte sie nichts.

In einem Absatz (das Wesentliche)

« Carnet » ist eine progressive Web-App (PWA) zur Führung der Pflegedokumentation und zur Rechnungsstellung für selbstständig tätige Gesundheitsfachpersonen. Sie beruht auf einer « Zero-Knowledge »-Architektur (ohne Kenntnis des Inhalts): Ihre gesamte Dokumentation wird auf Ihrem Gerät verschlüsselt, mit Schlüsseln, die allein aus Ihren Geheimnissen abgeleitet werden (Passwort, Wiederherstellungsschlüssel, gegebenenfalls Biometrie). Der Herausgeber hat keinen Zugang zu den Daten im Klartext — er kann sie weder lesen noch Ihr Passwort zurücksetzen; die einzige mögliche Wiederherstellung läuft über IHRE Geheimnisse (Wiederherstellungsschlüssel oder Wiederherstellungsblatt, auf Ihrem Gerät wieder zusammengesetzt), nie über den Herausgeber allein. Der optionale Synchronisierungsdienst hält nur undurchsichtige verschlüsselte Blöcke und eine undurchsichtige Kontokennung. Es gibt weder Tracking noch Werbung noch Weiterverkauf von Daten; die Anwendung lädt kein Skript eines Dritten, die Website ebenso wenig, mit der einzigen Ausnahme der Zahlungsseite carnet.health/paiement/, die das Zahlungsmodul von Paddle lädt (Abschnitt 5.3). Das ist das Gegenteil einer üblichen Datenschutzerklärung: Wir « sammeln » nahezu nichts, weil wir es technisch nicht können. Diese Erklärung beschreibt dennoch ehrlich, was sichtbar bleibt (technische Metadaten), die Grenzen des Modells und das einzige Dokument, das Ihr Gerät im Klartext verlässt, weil das Gesetz es verlangt: die für den Versicherer bestimmte Rechnung — den Krankenversicherer (KVG) oder, nach Tarif 334 im Tiers payant, den Versicherer eines Unfall-, Invaliden- oder Militärversicherungsfalls (Abschnitt 5.2).

Ausserhalb der Schweiz kaufen Sie den verwalteten Dienst bei Paddle, einem Wiederverkäufer (« merchant of record »), der den Preis einzieht, die Steuer Ihres Landes erhebt und Ihnen die Quittung ausstellt. Ihre Zahlungsangaben erhebt Paddle, in seinem Zahlungsformular (auf der Seite carnet.health/paiement/ vom Modul von Paddle angezeigt) und in eigener Verantwortung. Der Herausgeber übermittelt ihm nur die undurchsichtige Kennung Ihres Kontos und trägt in sein Register nur diese Kennung, das Datum, den Betrag, die Währung, die bezahlte Periode, das Zahlungsmittel, die Kennung der Transaktion oder der Anpassung von Paddle und gegebenenfalls den Grund einer Rückerstattung ein — nie Ihren Namen, Ihre E-Mail-Adresse, Ihre Adresse oder Ihre IP-Adresse (Abschnitt 5.3). Paddle sieht nichts von Ihrer Dokumentation.

1. Wer wofür verantwortlich ist — und die Zero-Knowledge-Natur

1.1 Sie sind für die Bearbeitung Ihrer Patientendaten verantwortlich. Als Gesundheitsfachperson bestimmen Sie den Zweck und die Mittel der Bearbeitung der Daten Ihrer Patientinnen und Patienten; Sie sind dafür Verantwortliche bzw. Verantwortlicher im Sinne von Art. 5 Bst. j DSG und bleiben Trägerin bzw. Träger des Berufsgeheimnisses (Art. 321 StGB). Der Herausgeber legt diese Zwecke nicht fest und hat keinen Zugang zu diesen Daten.

1.2 Der Herausgeber ist höchstens technischer Auftragsbearbeiter verschlüsselter Blöcke. Allein für den Dienst der Synchronisierung und der Aufbewahrung von Sicherungskopien handelt der Herausgeber als Auftragsbearbeiter (Art. 5 Bst. k und Art. 9 DSG), ausschliesslich an Ende-zu-Ende verschlüsselten Blöcken, die er nicht entschlüsseln kann. Diese Qualifikation wird vorsorglich gewählt: Konstruktionsbedingt hat der Herausgeber keinen Zugang zu Gesundheitsdaten im Klartext und nicht zur Identität der Patientinnen und Patienten. Die Einzelheiten dieser Auftragsbearbeitung regelt der Vertrag (in den Vertrag integrierte Vereinbarung über die Auftragsbearbeitung / DPA, https://carnet.health/conditions.html, Abschnitt 9, und Anhang « Liste der Unterauftragsbearbeiter » — siehe Abschnitt 5).

1.3 Der Herausgeber ist für seine eigenen technischen Daten selbstständig verantwortlich. Für die Metadaten, die ihm eigen sind (siehe Abschnitt 2), und für die Vertragsbeziehung mit Ihnen handelt der Herausgeber als selbstständiger Verantwortlicher. Diese Bearbeitungen sind rechtmässig, weil sie die Grundsätze des DSG (Art. 6 und 8) einhalten; soweit nötig, sind sie durch die Rechtfertigungsgründe von Art. 31 DSG gedeckt — Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung des Vertrags, den Sie mit dem Herausgeber schliessen, wobei es sich um Daten der Vertragspartnerin handelt (Art. 31 Abs. 2 Bst. a DSG), und überwiegendes privates Interesse an der Sicherheit und Verfügbarkeit des Systems (Art. 31 Abs. 1 DSG). Diese Daten umfassen keine Patientendaten.

1.4 Lokale Nutzung ohne Synchronisierung. « Carnet » funktioniert zuerst offline: Sie können die App vollständig auf Ihrem Gerät nutzen, ohne die Synchronisierung zu aktivieren. In diesem Fall verlassen keine Daten Ihr Gerät in Richtung des Herausgebers — mit Ausnahme der Rechnungen, die Sie selbst den Krankenversicherern übermitteln (Abschnitt 5.2). Der Herausgeber bearbeitet dann zu Ihrer Person nur allfällige Rechnungsangaben für das Abonnement (falls Sie abonniert sind).

1.5 Paddle, Wiederverkäufer ausserhalb der Schweiz: ein selbstständiger Verantwortlicher. Wird Ihnen der verwaltete Dienst ausserhalb der Schweiz verkauft, kaufen Sie ihn nicht beim Herausgeber, sondern bei Paddle, das ihn in eigenem Namen weiterverkauft (Abschnitt 5.3). Für die Daten, die Sie ihm beim Bezahlen angeben, ist Paddle Verantwortlicher, unabhängig vom Herausgeber: Ihre Verträge sehen dies vor (Verkäufervertrag von Paddle, Ziff. 14.2, und seine Vereinbarung über den Datenaustausch, gelesen am 23.09.2026). Paddle ist kein Auftragsbearbeiter des Herausgebers: Es bearbeitet nichts im Auftrag des Herausgebers und erhält weder einen verschlüsselten Block noch Patientendaten. Es ist auch nicht Ihr Auftragsbearbeiter. Was es mit Ihren Daten tut, sagt seine eigene Datenschutzerklärung: https://www.paddle.com/legal/privacy.

2. Welche Daten bearbeitet werden

2.1 Auf Ihrem Gerät (unter Ihrer alleinigen Kontrolle, im Ruhezustand verschlüsselt)

Drei Datenfamilien, die alle von Ihnen auf Ihrem Gerät erstellt und gehalten werden, werden verschlüsselt in der lokalen Datenbank des Browsers gespeichert (IndexedDB « carnet-v2 », über Dexie; Tabellen ops = Ereignisjournal, meta = Einstellungen, medias = Fotos und verschlüsselte Dokumente: im Patientenordner hinterlegte Dokumente und, seit dem 16.09.2026, das Exemplar jedes Dokuments, das Sie als versendet markieren):

• Namentliche Identität der Patientin bzw. des Patienten (interne Op patient.identite): Vorname, Name, Geburtsdatum, Geschlecht, AHV-Nr. (Format 756.xxxx.xxxx.xx, für die Abrechnung mit dem Versicherer erforderlich), Nr. der Versichertenkarte, Schadennummer (UVG), IV-Verfügungsnummer oder Fallnummer (MV) eines Versicherungsfalls, Strasse des Wohnsitzes, Krankenversicherer (GLN + Name), Telefon, E-Mail und Garant der Patientin bzw. des Patienten. Diese Daten sind im Code als streng lokal gekennzeichnet (Konstante OPS_LOCALES): Sie werden vor jedem Versand herausgefiltert und nie von der laufenden Synchronisierung transportiert. Der Rest des Wohnsitzes reist verschlüsselt mit: Gemeinde, PLZ, Ortschaft und das zuständige SMZ (Op patient.domicile) gehen mit der Dokumentation mit, Ende-zu-Ende verschlüsselt wie diese, damit Ihre anderen Geräte die Tour und die Abrechnung der Restfinanzierung zulasten des Kantons vorbereiten können; der Server kann sie nicht lesen. Sie können das Gerät nur über die in Abschnitt 4.3 abschliessend beschriebenen Kanäle verlassen (vier versiegelte Kanäle, für den Herausgeber und den Server unlesbar) sowie über die für den Krankenversicherer bestimmte Rechnung, die im Klartext versendet wird (Abschnitt 5.2).
• Klinische Daten: Pflegenotizen und -übergaben, Wunden (TIME-Schema), Wundfotos (verschlüsselt in der Tabelle medias, ausserhalb des Journals), Dokumente im Patientenordner (hinterlegte Dokumente und das Exemplar jedes als versendet markierten Dokuments — Erklärung OPAS 7, Übergabedossier, Brief —, auf dieselbe Weise verschlüsselt), Messreihen und Messschwellen, Assessmentinstrumente, Einschätzung des Suizidrisikos (RUD), Planung und Tour, ärztliche Anordnungen nach Art. 7 KLV.
• Abrechnungsdaten: Erklärungen OPAS 7, OKP-Rechnungen (einschliesslich der MiGeL-Materialzeilen bereits ausgestellter Rechnungen), Abrechnungen der Restfinanzierung an das SMZ, direkt der Patientin bzw. dem Patienten verrechnete Leistungen und Materialien (ausserhalb der OKP). Die von den Krankenversicherern erhaltenen Empfangsbestätigungen (facturation.accuse, opas7.accuse) werden lokal aufbewahrt, da eine Empfangsbestätigung den Namen der Patientin bzw. des Patienten nennen kann.

Angehörige und Notfallkontakte. Die Dokumentation einer Patientin bzw. eines Patienten kann die Koordinaten von Angehörigen und Kontakten enthalten (vertretungsberechtigte Person, zu benachrichtigende Person, Nachbarin bzw. Nachbar mit einem Schlüssel …), die von der Pflegefachperson für die Kontinuität und die Sicherheit der Pflege erfasst werden. Diese Daten liegen in der verschlüsselten Dokumentation, sind vom Berufsgeheimnis gedeckt und werden mit ihr gelöscht; sie werden weder im Klartext synchronisiert noch in ein Adressbuch exportiert. Die betroffenen Personen werden darüber nicht einzeln informiert: Die Pflegefachperson, eine Privatperson, die einer gesetzlichen Geheimhaltungspflicht untersteht (Art. 321 StGB), ist nach Art. 20 Abs. 1 Bst. c DSG von der Informationspflicht nach Art. 19 DSG befreit — dieser Hinweis gilt als allgemeine Information.

Für Demonstrationen werden keine echten Patientendaten verwendet: Die Anwendung bietet einen flüchtigen Demonstrationsmodus mit Pseudonymen, dessen Daten nicht aufbewahrt werden.

2.2 Was der Herausgeber tatsächlich sieht (wenn die Synchronisierung aktiviert ist)

Was der Herausgeber technisch sehen kann, beschränkt sich auf das Folgende.

2.3 Was der Herausgeber nicht sieht (technisch unmöglich): den Inhalt der Dokumentation, die Identitäten der Patientinnen und Patienten, die Gesundheitsdaten, die Dosierungen, die Dokumente, die Wunden, die Messreihen, die Entwürfe — nichts davon gelangt im Klartext zum Herausgeber, weder über die Synchronisierung noch über die versiegelten Kanäle von Abschnitt 4.3. Die für den Krankenversicherer bestimmte Rechnung ist eine Ausnahme vom Grundsatz « nichts verlässt das Gerät im Klartext »: Sie enthält namentliche Daten im Klartext (Abschnitt 5.2); ihre Übermittlung an MediData richtet sich nach den Nutzungsbedingungen von MediData, die Sie akzeptiert haben.

2.4 Kein Tracking, keine Dritten zur Reichweitenmessung, keine Werbung. « Carnet » lädt kein Skript, keine Schrift, kein Bild und keinen Tracker von Dritten: Eine strikte Content Security Policy (CSP) blockiert zur Laufzeit jede Anfrage an einen fremden Host: Die Anwendung kann nur den Synchronisierungsserver ihrer Edition und, auf Ihrem eigenen Computer, den Konnektor für den Rechnungsversand erreichen. Es gibt weder Werbevermarktung noch Verhaltensanalyse noch Weiterverkauf von Daten. Eine einzige Ausnahme, ausserhalb der Anwendung: Die Zahlungsseite https://carnet.health/paiement/ der Website, die der Zahlungslink öffnet, den Ihnen der Herausgeber für einen Kauf ausserhalb der Schweiz sendet, lädt das Zahlungsmodul von Paddle (Paddle.js, von paddle.com bereitgestellt), um das Formular von Paddle anzuzeigen; ihre Content Security Policy öffnet nur die Adressen von Paddle. Sie ist die einzige Seite von Carnet, die ein Skript eines Dritten lädt; die Anwendung lädt keines, und der Rest der Website ebenso wenig. Was Sie dort eingeben, geht an Paddle, den Verkäufer, und was Paddle auf Ihrem Gerät ablegt oder liest, richtet sich nach seiner Datenschutzerklärung (5.3).

3. Zwecke und Grundlage der Bearbeitungen

Anders als die europäische Verordnung macht das Schweizer Recht eine private Bearbeitung nicht von einer « Rechtsgrundlage » abhängig: Eine Bearbeitung ist rechtmässig, sobald sie die Grundsätze des DSG einhält (Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, erkennbarer Zweck, Richtigkeit, Sicherheit — Art. 6 und 8 DSG). Ein Rechtfertigungsgrund kommt nur ins Spiel, wenn die Bearbeitung die Persönlichkeit der betroffenen Person verletzt (Art. 30 und 31 DSG). Die nachstehende Tabelle gibt deshalb für jede Bearbeitung an, wer sie durchführt und worauf sie beruht — und gegebenenfalls den vorbehaltenen Rechtfertigungsgrund.

Der Herausgeber bearbeitet keine Patientendaten für eigene Rechnung und betreibt kein Profiling. Vier Entscheidungen werden automatisiert getroffen, nach einer veröffentlichten Regel: Der Abonnementszugang händigt Ihnen einen Zugangscode aus oder trägt Ihre Anfrage in die Warteliste ein, je nach dem Land, das Sie angeben; ein unbezahltes Abonnement wird am Ende der Nachfrist sistiert — ausserhalb der Schweiz auch ein bestätigtes Abonnement, dessen erster Zeitraum nie bezahlt wurde, an der Fälligkeit, die die E-Mail mit dem Zahlungslink festlegt, frühestens zwanzig Tage nach deren Versand —, ohne je Ihren lokalen Zugang zu Ihren Daten zu berühren (Vertrag, Ziff. 5.4; Anhang MONDE, M-2 Bst. f bis); am Ende einer dreissigtägigen Testphase, die Sie nicht bestätigt haben, wird der verwaltete Dienst pausiert (Synchronisierung, verwaltete Sicherungen, Eröffnung neuer Stellvertretungen), ohne Ihren lokalen Zugang oder eine bereits eröffnete Stellvertretung zu berühren, und er wird ab Ihrer Bestätigung wieder aufgenommen (Vertrag, Ziff. 5.1bis Bst. b); und wenn sich die Bedingungen wesentlich ändern, wartet die Synchronisierung eines Kontos, das die neue Version dreissig Tage nach ihrer Mitteilung weder akzeptiert noch abgelehnt hat, auf Ihre Antwort, ohne die Nutzung der Anwendung auf Ihrem Gerät zu berühren (Vertrag, Ziff. 12.2). Diese vierte Entscheidung betrifft nur ein Konto, das bereits eine Version des Vertrags akzeptiert hat, die sie vorsieht: Sie gilt nicht für die Version, die sie einführt. Sie werden hier darüber informiert (Art. 21 Abs. 1 DSG). Sie können Ihren Standpunkt darlegen und verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird, dem Herausgeber: (Art. 21 Abs. 2 DSG). Die Anfragebegrenzung, die stossweise Anfragen verlangsamt, entscheidet nichts über Sie. Am Vertragsende folgt der Übergang des Kontos in die Übergangsfrist, in den Nur-Lese-Zugang und dann in die Wartezeit auf die Löschung den Daten, die der Herausgeber auf Ihre Anfrage eingetragen hat (7.5): Das ist keine automatisierte Entscheidung, sondern die datierte Ausführung der Ihren; die Löschung selbst ist eine Handlung des Herausgebers.

4. Ihre Gesundheitsdaten: verschlüsselt und unter Ihrer alleinigen Kontrolle

4.1 Verschlüsselung auf dem Gerät. Die Pflegedokumentation (Ereignisjournal) und die Fotos werden auf Ihrem Gerät mit einem zufälligen Hauptschlüssel von 32 Bytes (dem CMK) in ChaCha20-Poly1305-IETF verschlüsselt. Der CMK wird nie im Klartext geschrieben: Er lebt nur während einer entsperrten Sitzung im Arbeitsspeicher. Auf dem Datenträger existiert er nur in « umhüllter » (selbst verschlüsselter) Form unter mehreren unabhängigen Geheimnissen, die alle denselben Schlüssel öffnen:

• Ihr Passwort (abgeleitet mit Argon2id, Kostenstufe MODERATE für neue Konten; Mindestlänge von 12 Zeichen + lokaler Stärkeschätzer, der schwache Passwörter ablehnt; Passphrase empfohlen);
• ein Wiederherstellungsschlüssel / eine Wiederherstellungsphrase (8 Wörter, ~88 Bit Entropie);
• gegebenenfalls ein biometrischer Schlüssel (die Biometrie des Geräts, Gesicht oder Fingerabdruck, über WebAuthn) — diese Umhüllung bleibt an die Hardware des Geräts gebunden und wird nie synchronisiert oder exportiert;
• gegebenenfalls ein eigener Code für die Verwahrungsstelle.

Ohne eines dieser Geheimnisse sind die lokalen Daten unlesbar (die verschlüsselten Blöcke allein genügen nicht). Der Herausgeber besitzt keinen Schlüssel, mit dem er allein oder zusammen mit dem Server Ihre Daten entschlüsseln könnte — weder ein Administrationspasswort noch eine Hintertür.

4.2 Persistenz und Sperre. Die Anwendung verlangt die Persistenz des Speichers (navigator.storage.persist), um die automatische Bereinigung der Datenbank durch gewisse Browser zu verhindern, da eine Pflegedokumentation viele Jahre aufbewahrt werden soll. Eine automatische Sperre (einstellbare Frist) schliesst den Tresor nach Inaktivität; laufende Entwürfe sind verschlüsselt.

4.3 Wo die namentliche Identität der Patientinnen und Patienten das Gerät verlässt — und wo nicht. Die laufende Synchronisierung transportiert NIE die namentlichen Identitäten (Op patient.identite: Name, Vorname, Geburtsdatum, AHV-Nr., Strasse des Wohnsitzes, Krankenversicherer, Schadennummer (UVG), IV-Verfügungsnummer oder Fallnummer (MV); Gemeinde, PLZ und Ortschaft reisen dagegen verschlüsselt mit der Dokumentation — Abschnitt 2.1): Sie werden vor jedem Versand herausgefiltert. Sie können Ihr Gerät über vier versiegelte Kanäle verlassen, die Sie auslösen oder aktivieren und die für den Herausgeber wie für den Server undurchsichtig bleiben:

• ① Übertragung von Gerät zu Gerät, die SIE auslösen (z. B. bei der Kopplung eines zweiten Geräts): Die Identitäten reisen in einem versiegelten Briefkasten (crypto_box_seal, libsodium), mit menschlicher Überprüfung durch 4 Wörter (SAS gegen Abfangen). Der Server leitet nur Blöcke weiter, die er weder lesen noch fälschen kann (er kennt die öffentlichen Schlüssel der Geräte nie).
• ② ÜBER-VERSIEGELTER Wiederherstellungsumschlag, der auf dem Server hinterlegt wird, wenn — und nur wenn — Sie den Wiederherstellungszugang aktivieren (ausdrückliche Wahl bei der Aktivierung der Synchronisierung, jederzeit widerrufbar): Die Identitäten werden verschlüsselt (AEAD unter dem CMK) und dann an einen öffentlichen Wiederherstellungsschlüssel erneut versiegelt (box_seal). Sie lassen sich nur durch Zusammenführen mehrerer getrennt gehaltener Geheimnisse öffnen, und ausschliesslich auf der Seite des Clients, am Tag einer Wiederherstellung (siehe 4.4).
• ③ Stellvertretung: die Übermittlung der Dokumentation allein der betroffenen Patientinnen und Patienten — ihre ganze Dokumentation, einschliesslich des Verlaufs —, mit ihren Identitäten, an eine von IHNEN bezeichnete Stellvertretung, solange der von Ihnen gewährte Zugang offen ist (siehe 4.5).
• ④ Ersatzzugang der Stellvertretung: Damit eine Stellvertretung ihren Zugang wiederfinden kann, wenn sie während der Stellvertretung ihr Gerät verliert, werden die Identitäten allein der anvertrauten Patientinnen und Patienten auf dem Server hinterlegt, verschlüsselt unter einem Schlüssel, der aus ihrem biometrischen Zugangsschlüssel abgeleitet wird (den der Server nicht ableiten kann). Dieser Ersatzzugang ist auf die Dauer der Stellvertretung beschränkt (zuzüglich einer kurzen Nachfrist) und wird durch den Widerruf, durch den Abschluss der Stellvertretung oder durch das automatische Erlöschen am vorgesehenen Ende des Mandats vernichtet. Der Herausgeber kann ihn nicht lesen.

Getrennt davon, und weder versiegelt noch undurchsichtig: Die für den Krankenversicherer bestimmte Rechnung wird IM KLARTEXT versendet. Das ist keine technische Ausnahme derselben Art wie die vier obigen Kanäle: Es ist eine gesetzliche Pflicht zur Rechnungsstellung, die als solche wahrgenommen wird — Art. 42 KVG für die Krankenversicherung; bei einem nach Tarif 334 im Tiers payant abgerechneten Fall Art. 54a UVG (Unfallversicherung), Art. 27ter Abs. 1 IVG (Invalidenversicherung) und Art. 25a MVG (Militärversicherung). Ihr genauer Inhalt wird in Abschnitt 5.2 beschrieben. Ihre Übermittlung an MediData richtet sich nach den Nutzungsbedingungen von MediData, die Sie akzeptiert haben.

Der Rest der Dokumentation wird verschlüsselt zwischen Ihren eigenen Geräten repliziert.

4.4 Wiederherstellungsdienst (Spiegel des Vertrags, Ziff. 9.11 und 10.8). Dieser Zugang wird nie von Amtes wegen geöffnet: Bei der Aktivierung der Synchronisierung stellt Ihnen die Anwendung die Frage und zeigt die beiden Möglichkeiten — « Wiederherstellungszugang aktivieren » oder « Nicht aktivieren » — ohne vorangekreuzte Option und ohne vor Ihrer Wahl etwas zu hinterlegen. Sie weist Sie an dieser Stelle darauf hin, dass der hinterlegte Umschlag die Identitäten Ihrer Patientinnen und Patienten, über-versiegelt, enthält: Die Entscheidung liegt bei der für die Bearbeitung verantwortlichen Fachperson; sie lässt sich weder aus einem Vertrag noch aus der Einwilligung Dritter ableiten. Ablehnung und Widerruf bleiben jederzeit in den Einstellungen möglich. Ist der Zugang aktiv, beruht die Einrichtung auf einer Geheimnisteilung: Ein Teil aus 8 Wörtern bleibt auf einem papierenen Wiederherstellungsblatt, das Sie besitzen (nie übermittelt); der andere Teil ist an einen Verwahrungsschlüssel des Herausgebers versiegelt, der AUSSERHALB des Servers aufbewahrt wird. Keine der beiden Seiten allein — weder der Server noch der Herausgeber — kann den Schlüssel rekonstruieren; die Zusammenführung erfolgt ausschliesslich auf der Seite des Clients, mit Überprüfung durch 4 Wörter. Die Vertraulichkeit beruht auf der kryptografischen Stärke des Teils aus 8 Wörtern, nie auf einem blossen Versuchszähler.

Wiederherstellungskontakt. Wenn Sie einen bezeichnet hatten, können Sie ihn widerrufen; es ist nicht mehr möglich, einen neuen hinzuzufügen. Solange er nicht widerrufen ist, öffnet ein zweites Blatt, das der Person Ihrer Wahl übergeben wurde, einen dritten Zugang. Die Einrichtung wird zu 2-von-3 — der Verwahrungsteil des Herausgebers und nach Wahl Ihre 8 Wörter oder der Code Ihres Kontakts. Die Schutzmassnahmen am Tag X sind auf diesem Weg identisch (Wartefrist, Untergrenze, Veto, Identitätsprüfung): Es gibt kein beschleunigtes Verfahren. Der Name Ihres Kontakts wird beim Herausgeber nirgends gespeichert: Er lebt nur in Ihrem Tresor auf Ihrem Gerät, und der Server verrät nie, ob ein Kontakt existiert.

Das Freigabeverfahren folgt einem im Vertrag beschriebenen schützenden Ablauf: einer Wartefrist von standardmässig 72 Stunden mit einer fest einprogrammierten Untergrenze von 24 Stunden, die keine Serverkonfiguration senken kann (die Einstellung kann die Wartefrist nur verlängern); der Benachrichtigung Ihrer aktiven Geräte, mit Vetorecht; einer Identitätsprüfung. Bei einem Widerruf werden der über-versiegelte Umschlag und der versiegelte Teil vernichtet (schriftliche Bestätigung auf Anfrage). Eine Wiederherstellungsanfrage ist zudem der einzige Vorgang, von dem der Herausgeber eine dauerhafte Spur mit Ihrer Verbindungsadresse aufbewahrt: Jede Interaktion mit dem Wiederherstellungsdienst — Einrichtung, Änderung der Verifizierungsnummer, Hinzufügen oder Widerruf eines Wiederherstellungskontakts, Deaktivierung des Dienstes, Anfrage, Veto, Auslieferung — wird mit einem mit einem geheimen Schlüssel gebildeten Fingerabdruck Ihrer IP-Adresse (seit dem 23.09.2026; zuvor die Adresse selbst) und dem Datum in einem eigenen Journal eingetragen, das nichts ändern oder löschen kann.

4.5 Stellvertretung: Dokumentationen einer Stellvertretung anvertrauen. Wenn Sie sich vertreten lassen, können Sie eine Stellvertretung eröffnen: Eine Kollegin erhält auf ihrem Gerät und in verschlüsselter Form die Dokumentation allein der Patientinnen und Patienten, die Sie bezeichnen — die Dokumentation selbst, so wie Sie sie führen, und keine Zusammenfassung —, mit ihren Identitäten, solange der von Ihnen gewährte Zugang offen ist — Sie können ihn jederzeit erweitern, begrenzen oder widerrufen; er erlischt durch den Abschluss der Stellvertretung, durch ihren Widerruf oder von selbst 90 Tage nach dem vorgesehenen Ende des Mandats, wenn dieses Datum auf dem Server hinterlegt wurde (siehe 2.2) — ein fernes Sicherheitsnetz, damit ein vergessenes Mandat nicht unbegrenzt offen bleibt, nie ein Fallbeil über laufender Arbeit; ein Mandat ohne Ende (ständiges Zweierteam) hat keine Frist. Dieses automatische Erlöschen schliesst das Schreiben sofort und lässt das Lesen dreissig Tage lang offen, damit Sie die Pflegeleistungen der letzten Tour zurückholen können; nach Ablauf dieser Frist werden die Blöcke des Kontos gelöscht. Diese Bekanntgabe beruht auf der Einwilligung Ihrer Patientinnen und Patienten in die Weitergabe ihrer Dokumentation an die Pflegenden, die bei ihnen tätig sind (Art. 321 Ziff. 2 StGB; Art. 36 Abs. 2 GG/VS; Art. 31 DSG), die Sie in der Anwendung einholen und festhalten. Was Sie wissen müssen:

• Was der Server beherbergt: ein der Stellvertretung eigenes Synchronisierungskonto, die verschlüsselten Startpakete des Bereichs und, wenn sie einen biometrischen Zugangsschlüssel registriert hat, den in 4.3 ④ beschriebenen Ersatzzugang. Der Herausgeber kann weder die Identitäten noch die übermittelten Dokumentationen lesen: Sie sind nur auf dem Gerät der Stellvertretung entschlüsselbar.
• Eine in der Anwendung angenommene Verpflichtung, vor jedem Zugang. Bevor auch nur ein Name angezeigt wird, muss die Stellvertretung versionierte « Nutzungsbedingungen des Stellvertretungsmodus » akzeptieren (geltende Version: releve-8). Der Bildschirm ist beim ersten Zugang sperrend: ohne Annahme kein Zugang. Die Annahme erfolgt mit einer einzigen Handlung, ohne Kästchen zum Ankreuzen, mit dem vollständigen Text vor Augen; sie wird mit Zeitstempel versehen und festgehalten und umfasst die Erklärung der Stellvertretung, dass sie zur Berufsausübung berechtigt ist. Diese Bedingungen betreffen: die Grundlage des Zugangs — die Einwilligung der Patientinnen und Patienten in die Weitergabe, die Sie einholen und festhalten; die Wahrung des Berufsgeheimnisses (Art. 321 StGB); einen Zugang, der auf die Pflege der anvertrauten Patientinnen und Patienten beschränkt ist, solange der von Ihnen gewährte Zugang offen ist, und die Verpflichtung, darin nur das einzusehen, was ihre Pflege erfordert; die Tatsache, dass jeder ihrer Einträge mit einem Schlüssel signiert wird, der auf ihrem Gerät bleibt — was sie dokumentiert, ist ihr zurechenbar, und niemand, nicht einmal Sie, kann unter ihrem Namen schreiben; den Umfang dessen, was sie in der Dokumentation der anvertrauten Patientinnen und Patienten führt — Beobachtungen, Fokuseinträge, Messungen und Schwellen, verabreichte oder verweigerte Medikamente, Wunden und Stomata (einschliesslich Protokolle und Abschluss), Behandlungen, erneute Bedarfsermittlungen, Termine und Pflegeplanung, im Patientenordner hinterlegte Dokumente, Assessmentinstrumente — und was bei Ihnen bleibt: die Bedarfsmeldung an den Krankenversicherer (OPAS 7), die sie einsehen und drucken, aber nicht ändern kann, und das Aufnahmeblatt der Patientin bzw. des Patienten (Identität, Versicherung, Wohnsitz, Allergien, Willensäusserungen, Eintrittsanamnese), das sie in einer geteilten Dokumentation nicht ändert — was sie am Bett feststellt, notiert sie in der Dokumentation, unter ihrem Namen; die Tatsache, dass sie keine Dokumentation eröffnet oder archiviert und weder ein Dokument aus dem Patientenordner noch einen Eintrag aus dem Adressbuch entfernt; das Erlöschen des Zugangs bei seinem Abschluss, bei seinem Widerruf oder 90 Tage nach dem vorgesehenen Ende des Mandats, und die Löschung des Bereichs von ihrem Gerät; die Verantwortung für ihre eigene Dokumentation, die ihren Namen trägt; den persönlichen Charakter des Zugangs (ein eigener Schlüssel und ein eigenes Passwort, eine Signatur pro Eintrag) und den gemeinsamen Charakter der Dokumentation des Mandats — die anderen Stellvertretungen desselben Mandats, von Ihnen eingeladen, lesen und schreiben dieselbe Dokumentation und sind keine Dritten; die unverzügliche Meldung eines Verlusts, eines Diebstahls oder eines unbefugten Zugangs; die Nichtweitergabe der Dokumentationen an Dritte und den Verzicht auf Kopien ausserhalb von Carnet; und den Hinweis, dass die Information der Patientinnen und Patienten der vertretenen Pflegefachperson obliegt. Es gibt kein Papierdokument zu unterzeichnen: Die Verpflichtung wird in der Anwendung eingegangen.
• Sie bleiben Verantwortliche bzw. Verantwortlicher. Es ist an Ihnen, als Inhaberin bzw. Inhaber der Dokumentation, die Einwilligung der Patientinnen und Patienten in die Weitergabe ihrer Dokumentation einzuholen und festzuhalten, die Patientinnen und Patienten über den Einsatz einer Stellvertretung zu informieren und jeden Widerspruch zu berücksichtigen: Die Anwendung zeigt ihn Ihnen an und hält ihn in der Dokumentation der Patientin bzw. des Patienten fest, entzieht aber keine Dokumentation an Ihrer Stelle — die Entscheidung, trotz eines Widerspruchs anzuvertrauen oder nicht, und ihre Begründung (namentlich im Notfall) liegen bei Ihnen, unter Ihrer Verantwortung. Die Auswahl der anvertrauten Patientinnen und Patienten ist Ihre, Dokumentation für Dokumentation.

5. Empfänger und Auftragsbearbeiter

Der Herausgeber minimiert die Dritten. « Carnet » verwendet keine Werbetracker und keine Analysewerkzeuge Dritter; die Anwendung (PWA) ist in sich geschlossen (strikte CSP, kein CDN und keine zur Laufzeit geladenen externen Ressourcen). Zwei weitere Empfänger können hinzukommen, die keine Auftragsbearbeiter sind und deshalb nicht in der nachstehenden Liste nach Art. 9 Abs. 3 DSG stehen: Der Haftpflichtversicherer des Herausgebers, falls er je einen abschliesst (zum Datum dieser Version besteht keine Versicherung, Vertrag 3.5), nur im Schadenfall: die für dessen Bearbeitung nötigen Daten des Kunden (Identität, Vertrag, Korrespondenz). Keine Patientendaten: Der Herausgeber besitzt keine im Klartext. Er ist kein Auftragsbearbeiter; diese Erklärung wird ergänzt, bevor irgendetwas an einen Versicherer geht. Paddle.com Market Limited, für einen Verkauf ausserhalb der Schweiz: Wiederverkäufer, selbstständiger Verantwortlicher für die Daten, die Sie ihm beim Bezahlen angeben (1.5, 5.3). Es erhält vom Herausgeber nur die undurchsichtige Kennung Ihres Kontos und die Rückerstattungen, die der Herausgeber beschliesst. Es ist kein Auftragsbearbeiter und steht deshalb nicht in der nachstehenden Liste.

5.1 Anhang — Liste der Auftragsbearbeiter (Art. 9 Abs. 3 DSG)

(Nachgeführte und datierte Liste. Stand am 23. September 2026, überprüft am 11. Oktober 2026. Sie ist auch jene des Anhangs IV der Standardvertragsklauseln des Zonenanhangs, für die verschlüsselten Blöcke: Infomaniak und Proton Drive. Das Verzeichnis der Bearbeitungstätigkeiten des Herausgebers übernimmt sie.)

Technische Überwachung und Zeitstempel. Drei externe Dienste erhalten keine Daten der Dokumentation, sondern Betriebssignale — sie werden hier erwähnt, weil diese Liste vollständig sein will:

Jede Änderung dieser Liste (Hinzufügen / Ersetzen eines Auftragsbearbeiters) wird Ihnen gemäss Vertrag mitgeteilt, mit der Möglichkeit, Widerspruch zu erheben.

5.2 Die Rechnung an den Krankenversicherer — was tatsächlich im Klartext versendet wird

An diesem Punkt hört das Modell « nichts verlässt das Gerät im Klartext » auf zu gelten, weil das Gesetz es verlangt: Der Leistungserbringer muss dem Versicherer eine detaillierte Rechnung zustellen und ihm die für deren Überprüfung nötigen Angaben übermitteln. Für die Krankenversicherung ist das Art. 42 KVG. Für Leistungen, die nach Tarif 334 im Tiers payant einem im Dossier erfassten Versicherungsfall verrechnet werden, sind es Art. 54a UVG für die Unfallversicherung, Art. 27ter Abs. 1 IVG (präzisiert durch Art. 79ter IVV) für die Invalidenversicherung und Art. 25a MVG für die Militärversicherung. Wir sagen es ohne Umschweife.

Was die dem Krankenversicherer übermittelte Rechnung enthält:

• Name, Vorname, Geburtsdatum, Geschlecht der Patientin bzw. des Patienten;
• ihre bzw. seine AHV-Nr. und Adresse;
• die verrechneten Leistungen (Tarifpositionen, Daten, Mengen);
• die Identität und die Adresse der verordnenden Ärztin bzw. des verordnenden Arztes;
• eine medizinische Indikation als FREIER TEXT mit einer Länge von höchstens 350 Zeichen;
• bei einem UVG-, IV- oder MV-Fall: das Gesetz, die Schadennummer (UVG) oder die IV-Verfügungsnummer (IV, verlangt von Art. 79ter Abs. 1 Bst. d IVV), die Fallnummer, falls vorhanden (MV), das Unfalldatum (UVG) oder das Datum des Falls (MV) und der Behandlungsgrund (Unfall, Krankheit, Geburtsgebrechen).

Diese medizinische Indikation ist tatsächlich eine klinische Information im Klartext. Sie steht in der Rechnung, weil der Krankenversicherer sie für die Prüfung der Kostenübernahme braucht; sie wird von Ihnen verfasst, unter Ihrer Verantwortung, und Sie müssen sie auf das beschränken, was für die Überprüfung der Rechnung nötig ist. Was nicht in der Rechnung versendet wird: die Pflegedokumentation selbst, die Notizen und Übergaben, die Wundfotos, die Assessmentinstrumente und Einschätzungen, die Dokumente.

Wer die Rechnung erhält. Die KVG-Rechnung geht an den Krankenversicherer der Patientin bzw. des Patienten; die eines UVG-Falls an den Unfallversicherer dieses Falls; die eines IV-Falls an die Zentrale Ausgleichsstelle (Centrale de compensation), der der Leistungserbringer sie auf dem Weg der elektronischen Datenübermittlung zustellen kann (Art. 79 Abs. 1 IVV); die eines MV-Falls an die Suva, der die Führung der Militärversicherung übertragen wurde (Art. 81 Abs. 2 MVG). Sie müssen der Patientin bzw. dem Patienten eine Kopie der Rechnung zukommen lassen, im Tiers payant nach KVG (Art. 42 Abs. 3 KVG) und in der IV (Art. 27ter Abs. 1 IVG; Art. 79ter Abs. 4 IVV). Carnet bereitet sie zum Drucken vor, sobald die Rechnung übermittelt ist; Sie übergeben oder senden sie selbst — sie läuft über keinen Server des Herausgebers.

Ihre Pflegedokumentation bleibt für den Herausgeber unlesbar: Sie wird auf Ihrem Gerät verschlüsselt. Die Übermittlung der Rechnung an MediData richtet sich nach den Nutzungsbedingungen von MediData, die Sie akzeptiert haben. Da Sie « über den Softwarepartner Carnet » angeschlossen sind, teilt MediData dem Herausgeber, wie jedem Softwarepartner, die Liste der über diesen Partner angeschlossenen Organisationen mit: Name, Ort, Kundennummer und GLN Ihrer Praxis — nie eine Rechnung oder Patientendaten. Der Herausgeber bearbeitet diese Daten für eigene Rechnung (Vereinbarung über die Auftragsbearbeitung, Abschnitt 2.3).

5.3 Paddle — der Wiederverkäufer des Dienstes ausserhalb der Schweiz

Wer. Paddle.com Market Limited, in England und Wales unter der Nr. 08172165 eingetragene Gesellschaft, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich (für die Verkäufe ausserhalb Kanadas).

Was es tut. In den Ländern ausserhalb der Schweiz, welche die Preisseite als offen bezeichnet, verkauft Ihnen Paddle den verwalteten Dienst in eigenem Namen: Es zieht den Preis ein, erhebt und rechnet die Steuer Ihres Landes ab, stellt Ihnen die Quittung aus, verlängert das Abonnement, mahnt eine fehlgeschlagene Zahlung an und führt die Rückerstattungen aus, die der Herausgeber beschliesst. Der Herausgeber richtet ausserhalb der Schweiz weder eine Rechnung noch eine Zahlungsaufforderung an Sie. In der Schweiz wirkt Paddle nicht mit.

Seine Rolle. Für die Daten, die Sie ihm beim Bezahlen angeben, ist Paddle Verantwortlicher, unabhängig vom Herausgeber (1.5). Es ist kein Auftragsbearbeiter (Art. 5 Bst. k und Art. 9 DSG). Für diese Daten ist seine Datenschutzerklärung massgebend: https://www.paddle.com/legal/privacy. Ihre Rechte an diesen Daten machen Sie bei Paddle geltend (https://preferences.paddle.com); der Herausgeber hilft Ihnen dabei, wenn Sie ihn darum bitten.

Die Zahlungsseite von Carnet. Der Zahlungslink öffnet die Seite https://carnet.health/paiement/, die der Herausgeber veröffentlicht. Sie ist die einzige Seite von Carnet, die ein Skript eines Dritten lädt: das Zahlungsmodul von Paddle (Paddle.js), von paddle.com bereitgestellt. Dieses Modul zeigt das Zahlungsformular von Paddle in einem von Paddle bereitgestellten Rahmen (buy.paddle.com) an. Die Seite selbst liest nur die Transaktionsnummer aus ihrer Adresse, die Sprache Ihres Browsers und, falls vorhanden, Ihre Anzeigeeinstellungen der Website (helles oder dunkles Design, Farbpalette), die in Ihrem Browser bleiben; sie schreibt dort nichts und sendet dem Herausgeber nichts: Sie öffnet die Transaktion, die der Herausgeber vorbereitet hat und die nur die undurchsichtige Kennung Ihres Kontos trägt. Beim Laden verbindet sich Ihr Browser mit den Servern von Paddle, die, wie bei jeder Webseite, Ihre IP-Adresse und technische Informationen über Ihren Browser erhalten. Was die Seite ablegt, gemessen am 9. Oktober 2026 (Browser Chromium, Seite ohne Transaktion geladen): eine einzige Anfrage an einen Dritten, das Modul von Paddle (cdn.paddle.com); in der Antwort legt der Server dieses Moduls, über Cloudflare bereitgestellt, ein technisches Cookie zum Schutz vor Robotern ab, __cf_bm, auf der Domain paddle.com, für die Seite nicht lesbar (HttpOnly), für dreissig Minuten; nichts im lokalen oder Sitzungsspeicher von carnet.health, kein Cookie von carnet.health. Was das Zahlungsformular von Paddle danach in seinem Rahmen buy.paddle.com ablegt oder liest, sobald Ihre Transaktion geöffnet ist, wurde nicht gemessen: Paddle beschreibt es in seiner Datenschutzerklärung (Abschnitt J, « Cookies and Similar Technologies », gelesen am 9. Oktober 2026) — was der Zahlung und der Betrugsvorbeugung dient. Diese Vorgänge dienen allein der Zahlung, die Sie verlangt haben: Grundlage ist die Abwicklung des Vertrags (Art. 31 Abs. 2 Bst. a DSG; Art. 6 Abs. 1 Bst. b DSGVO); ein Ablegen oder Lesen auf Ihrem Gerät, das für diesen ausdrücklich verlangten Dienst unbedingt nötig ist, erfordert Ihre Einwilligung nicht (Art. 5 Abs. 3 der Richtlinie 2002/58/EG); in der Schweiz verlangt das Fernmeldegesetz, dass Sie über diese Bearbeitung und ihren Zweck informiert werden — Sie werden es hier — und darauf hingewiesen werden, dass Sie sie ablehnen können, was die Einstellungen Ihres Browsers erlauben, mit dem Risiko, dass die Zahlung nicht zustande kommt (Art. 45c Bst. b FMG, SR 784.10). Die Seite ist weder indexiert noch vom Rest der Website aus verlinkt: Man gelangt nur über Ihren Zahlungslink dorthin.

Wer für diese Seite einsteht. Für die Zahlung selbst und für alles, was Paddle danach mit Ihren Daten tut (Einzug, Steuer, Quittung, Verlängerung, Betrugsvorbeugung), ist Paddle Verantwortlicher, unabhängig vom Herausgeber (1.5). Für das blosse Laden des Moduls von Paddle auf der Seite des Herausgebers und die dadurch ausgelöste Übermittlung an Paddle betrachtet sich der Herausgeber, der entschieden hat, dieses Modul in seine Seite einzubinden, um bezahlt zu werden, als gemeinsam mit Paddle Verantwortlicher (Art. 26 DSGVO; Art. 5 Bst. j DSG), im Sinne des Urteils Fashion ID des Gerichtshofs der Europäischen Union (29. Juli 2019, C-40/17) — nur für diese beiden Vorgänge, nie für das, was Paddle danach tut. Für Sie heisst das: Der Herausgeber informiert Sie hier über diese Vorgänge; Sie können Ihre Rechte dazu beim Herausgeber wie bei Paddle geltend machen; der Herausgeber nimmt Ihre Anfrage entgegen, beantwortet sie, soweit sie ihn betrifft, und leitet sie für den Rest an Paddle weiter (Art. 26 Abs. 3 DSGVO). Der Herausgeber und Paddle haben hierüber keine schriftliche Vereinbarung geschlossen: Der Herausgeber übernimmt Ihnen gegenüber die oben beschriebenen Pflichten und bleibt für diese beiden Vorgänge Ihre Anlaufstelle; für das, was Paddle danach mit Ihren Daten tut, steht Paddle allein ein.

Was Paddle bei Ihnen erhebt. In seinem Zahlungsformular: Ihren Namen, Ihre E-Mail-Adresse, Ihre Rechnungsadresse, Ihr Zahlungsmittel (bei einer Karte werden deren Daten nur von Paddle und seinen Zahlungsdienstleistern bearbeitet), gegebenenfalls Ihre Mehrwertsteuernummer, Ihre IP-Adresse und technische Informationen über Ihr Gerät, namentlich zur Betrugsvorbeugung. Sie geben sie ein: Der Herausgeber übermittelt sie ihm nicht.

Was der Herausgeber Paddle übermittelt. Die undurchsichtige Kennung Ihres Synchronisierungskontos, in der Transaktion, die Ihr Zahlungslink trägt — sie ordnet Ihre Zahlung Ihrem Konto zu — und gegebenenfalls die Rückerstattung einer durch ihre Kennung bezeichneten Transaktion. Nichts anderes: weder Ihren Namen noch Ihre E-Mail-Adresse noch Ihre Dokumentation noch einen verschlüsselten Block noch Patientendaten. Der Schlüssel, mit dem mit Paddle gesprochen wird, liegt auf dem Rechner des Herausgebers, in der Schweiz: Der Synchronisierungsserver spricht nie mit Paddle. Paddle weiss, dass Sie den verwalteten Dienst gekauft haben; es sieht nichts davon, was Sie damit tun.

Was Paddle dem Herausgeber zeigt, und was der Herausgeber davon behält. Paddle stellt jedem Verkäufer in seinem Verkäuferbereich zur Verfügung, was es über dessen Käuferinnen weiss (Name, Adresse, E-Mail-Adresse, Kaufhistorie). Der Herausgeber kann das nicht verhindern; er sieht diese Daten nur ein, um den Verkauf abzuwickeln, und kopiert nichts davon. Sein Zahlungsregister behält nur die Angaben von Abschnitt 2.2 (« Zahlung über Paddle ») — nie Ihren Namen, Ihre E-Mail-Adresse, Ihre Adresse oder Ihre IP-Adresse.

Wohin diese Daten gehen. Paddle.com Market Limited befindet sich im Vereinigten Königreich, einem Staat, dessen Gesetzgebung nach Schweizer Recht einen angemessenen Schutz gewährleistet (Art. 16 Abs. 1 DSG; Anhang 1 DSV). Für eine Kundin aus dem Europäischen Wirtschaftsraum besteht für das Vereinigte Königreich ein Angemessenheitsbeschluss der Europäischen Kommission: Durchführungsbeschluss (EU) 2021/1772 vom 28. Juni 2021 (ABl. L 360 vom 11.10.2021, S. 1), geändert durch den Durchführungsbeschluss (EU) 2025/2574 vom 19. Dezember 2025 (ABl. L, 2025/2574, 23.12.2025), nach dem er am 27. Dezember 2031 ausläuft, sofern er nicht verlängert wird. Das Zahlungsmodul wird von den Servern von Paddle (paddle.com) bereitgestellt, das dafür Dienstleister seiner Wahl beizieht. Paddle zieht selbst Dienstleister in der ganzen Welt bei und regelt seine Übermittlungen nach seiner Datenschutzerklärung; diese Übermittlungen liegen in seiner Verantwortung.

Geschlossene Länder. Der verwaltete Dienst wird dort nicht verkauft, wo Paddle nicht verkauft, und nicht dort, wo das Gesetz des Landes einer Pflegefachperson verbietet, die Dokumentation ihrer Patientinnen und Patienten einem Server in der Schweiz anzuvertrauen. Frankreich: Gesundheitsdaten für eine Fachperson zu hosten, verlangt einen zertifizierten Hoster, der in der Europäischen Union oder im Europäischen Wirtschaftsraum speichert (Code de la santé publique, Art. L.1111-8 und R.1111-9-1); die Anwendung wird dort lokal genutzt, ohne Synchronisierung, und dort werden keine Zahlungsdaten bearbeitet. Die Preisseite führt die Liste der geschlossenen Länder und ihren Grund.

Auftragsbearbeitungsvertrag ausserhalb der Schweiz. Für die verschlüsselten Blöcke Ihrer Dokumentationen ist der Herausgeber Ihr Auftragsbearbeiter (1.2). Im Europäischen Wirtschaftsraum ist dieses Verhältnis durch den Zonenanhang MONDE geregelt, der die Standardvertragsklauseln der Kommission übernimmt (Durchführungsbeschluss (EU) 2021/915), dem Recht Ihres Staates unterstellt: Das ist der Vertrag, den Art. 28 DSGVO verlangt. Sie nehmen ihn mit dem Vertrag beim Abschluss des Abonnements an.

6. Hosting und Standort

6.1 Hosting in der Schweiz. Die Serverinfrastruktur ist ein VPS bei Infomaniak, in der Schweiz (Debian), ausgeliefert durch Caddy über HTTPS (automatisch erneuerte Let's-Encrypt-Zertifikate, HSTS-Header). Ein einziger Server beherbergt die Subdomains des Dienstes:

• carnet.health — die Website (Präsentationsseite);
• app.carnet.health — die PWA-Anwendung (statische Dateien des Builds);
• global.carnet.health — die internationale Edition der Anwendung, ohne nationalen Baustein, online seit dem 21.09.2026;
• qc.carnet.health — die Québecer Edition der Anwendung, online seit dem 25.09.2026;
• sync.carnet.health — der « blinde » Synchronisierungsserver (Node.js, SQLite-Datenbank lokal auf dem Server), der nur verschlüsselte Blöcke speichert und für die Aktivierung eines Kontos einen Einladungscode verlangt.

6.2 Keine Übermittlung von Patientendaten im Klartext ins Ausland — aus dem einfachen Grund, dass es auf der Serverseite keine Patientendaten im Klartext gibt. Allfällige verschlüsselte Sicherungskopien, die ins Ausland repliziert würden, gingen nur in einen Staat mit angemessenem Schutz (Art. 16 Abs. 1 DSG) oder unter einer Garantie nach Art. 16 Abs. 2 DSG und blieben unverständlich. Tatsächlich: Der Server (Infomaniak) und der Arbeitsplatz des Herausgebers befinden sich in der Schweiz; die Kopie ausser Haus liegt bei Proton AG, einer schweizerischen Gesellschaft mit Sitz in Genf, deren Drive-Server sich « ausschliesslich in der Schweiz, in Deutschland oder in Norwegen » befinden (Richtlinie von Proton Drive vom 19.08.2026) — drei Staaten mit angemessenem Schutz (Art. 16 Abs. 1 DSG). Diese Kopie wird vor dem Versand ein zweites Mal verschlüsselt. Für eine Fachperson aus der Europäischen Union, dem EWR oder dem Vereinigten Königreich ist die Bearbeitung ihrer Daten als Fachperson in der Schweiz eine Übermittlung in ein als angemessen anerkanntes Land (Entscheidung 2000/518/EG der Kommission, aufrechterhalten durch Art. 45 Abs. 9 DSGVO; im Vereinigten Königreich Data Protection Act 2018, Anhang 21, Ziff. 4 und 5). Der Verkauf ausserhalb der Schweiz fügt dem nur eine Sendung hinzu: die undurchsichtige Kennung Ihres Kontos an Paddle, im Vereinigten Königreich, und, für die Dauer einer Zahlung, was Ihr Browser beim Laden der Zahlungsseite an Paddle sendet (5.3) — nie Patientendaten. Für eine Fachperson aus Argentinien, Chile, Panama oder Uruguay beruht die Bearbeitung ihrer Daten als Fachperson in der Schweiz in Argentinien auf der Anerkennung der Schweiz als angemessenes Land (Verfügung DNPDP 60-E/2016; Gesetz 25.326, Art. 12); in Uruguay auf derselben Anerkennung (Resolution der URCDP 23/021 vom 08.06.2021; Gesetz 18.331, Art. 23); in Chile, ab dem Inkrafttreten des Gesetzes 21.719, auf den Vertragsklauseln des Anhangs MONDE, M-11.4 (Art. 27 dieses Gesetzes); in Panama auf der Notwendigkeit der Übermittlung für die Abwicklung des Vertrags (Gesetz 81 von 2019, Art. 33). Die verschlüsselten Blöcke ihrer Patientinnen und Patienten werden dort für sie gehostet, ohne dass der Herausgeber sie lesen kann.

6.3 Was nach Land getrennt ist und was nicht. Die Québecer Edition (qc.carnet.health) ist seit dem 25.09.2026 online; der verwaltete Dienst wird dort noch nicht verkauft. Zwei verschiedene Dinge, die wir lieber getrennt sagen:

• Auf Ihrem Gerät ist die Trennung vollständig. Jede Edition lebt auf ihrer eigenen Domain, also in einem Speicher, den der Browser strikt trennt (« Origin »): Der verschlüsselte Tresor einer Edition ist für eine andere unzugänglich, und keine Daten gehen von der einen zur anderen über.
• Der Synchronisierungsserver dagegen ist EINZIG (sync.carnet.health, Infomaniak, Genf): Er beherbergt die verschlüsselten Blöcke aller Editionen in derselben Datenbank. Er kann sie nicht lesen — er besitzt keinen Schlüssel —, er verknüpft nie zwei Konten miteinander, und jedes Konto hat nur Zugriff auf seine eigenen Blöcke. Aber es gibt keinen Québecer Server: Daten, die aus Québec synchronisiert werden, werden in der Schweiz gehostet, in verschlüsselter Form. Würde ein Land ein lokales Hosting verlangen, bräuchte es eine eigene Instanz — wir würden es sagen, bevor wir den Dienst dort eröffnen. Seit dem 21.09.2026 erfordert dies keine Änderung der Software: Die Adresse des Servers ist eine Eigenschaft der Edition, keine Konstante des Programms, und jede Edition darf nur den Server erreichen, den sie deklariert — der Browser blockiert jeden anderen Aufruf. Eine Pflegefachperson kann daher nicht ihren eigenen Synchronisierungsserver an eine veröffentlichte Edition anschliessen.

Die internationale Edition (global.carnet.health, online seit dem 21.09.2026) folgt denselben Regeln: Ihr Tresor ist auf Ihrem Gerät wie jener der anderen Editionen getrennt, und ihre verschlüsselten Blöcke werden auf demselben Server in der Schweiz gehostet.

7. Aufbewahrungsdauer

7.1 Append-only-Modell (Event-Sourcing). Jeder Eintrag ist ein einem Journal hinzugefügtes Ereignis; eine fachliche Berichtigung oder « Löschung » ist selbst ein neues Ereignis, wobei die früheren Ereignisse im Journal bleiben (medizinrechtliche Nachvollziehbarkeit). Eine Pflegedokumentation soll viele Jahre aufbewahrt werden (Grössenordnung 10 bis 20 Jahre).

7.2 Auf der Seite des Geräts (Sie) — die Aufbewahrung liegt in IHRER Verantwortung. Sie kontrollieren Ihr Gerät. Ein Zurücksetzen oder Löschen des Tresors vernichtet die lokalen Daten; ohne jedes Geheimnis (Passwort, Wiederherstellungsschlüssel, Biometrie) sind die verschlüsselten Blöcke endgültig nicht wiederherstellbar.

Die Aufbewahrung der Pflegedokumentation während der gesamten gesetzlichen Dauer — sie hängt vom Kanton ab, in dem Sie tätig sind: mindestens 20 Jahre im Wallis (Art. 32 GG/VS); mindestens 10 Jahre ab der letzten Konsultation im Kanton Waadt (LSP VD Art. 87); mindestens 10 Jahre ab der letzten Konsultation, Vernichtung spätestens nach 20 Jahren in Genf (LS GE Art. 57); mindestens 10 Jahre, Vernichtung spätestens nach 20 Jahren in Freiburg (GesG FR Art. 59); mindestens 20 Jahre in Neuenburg (LS NE Art. 64); mindestens 10 Jahre ab dem Ende der Behandlung im Jura (Verordnung JU 811.213 Art. 19); mindestens 20 Jahre, auch nach Aufgabe der Tätigkeit im Kanton Bern (GesG BE Art. 26); anderswo die vom kantonalen Recht festgelegte Dauer; und 10 Jahre für die Buchhaltungsbelege (Art. 958f OR) — obliegt Ihnen, der Gesundheitsfachperson, und Ihnen allein. Das ist keine Floskel: Der Herausgeber gewährleistet sie nicht und kann sie nicht gewährleisten, da er einen Inhalt, den er nicht entschlüsseln kann, weder lesen noch identifizieren noch auf seine Integrität prüfen kann. Er kann daher weder bestätigen, dass eine Dokumentation noch existiert, noch sie herausgeben, wenn Sie Ihre Geheimnisse verlieren.

« Carnet » stellt Ihnen die Werkzeuge dieser Aufbewahrung zur Verfügung (geprüfter .carnet-Export, Sicherungen, Verwahrungsstelle, Synchronisierung zwischen Ihren Geräten); die dauerhafte Verwahrung, die Sicherungskopien und deren regelmässige Überprüfung bleiben Ihre Sache. Es obliegt Ihnen, eine Sicherungspraxis einzurichten, die den Verlust, den Diebstahl oder den Ausfall eines Geräts sowie die Aufgabe Ihrer Tätigkeit übersteht.

7.3 Auf der Seite des Servers (Herausgeber). Aufbewahrt werden nur verschlüsselte Blöcke, indexiert durch eine undurchsichtige Kontokennung, solange Ihr Synchronisierungskonto besteht. Die vorübergehenden Elemente sind zur einmaligen Verwendung bestimmt und kurz gültig: Ein Kopplungssiegel ist 10 Minuten gültig und wird gelöscht, sobald es abgeholt ist; eine versiegelte Einladung zur Stellvertretung ist für die von Ihnen gewählte Dauer gültig (von einer Stunde bis zum Beginn der Stellvertretung, höchstens 45 Tage), und ihr Paket wird gelöscht, sobald sie angenommen, abgelaufen oder zurückgezogen ist oder sobald die Stellvertretung abgeschlossen ist; eine Nachricht des Identitäten-Briefkastens ist 7 Tage gültig und wird gelöscht, sobald sie abgeholt ist, wobei abgelaufene Nachrichten laufend bereinigt werden. Das einer Stellvertretung eigene Synchronisierungskonto und seine verschlüsselten Startpakete bestehen für die Dauer der Stellvertretung: Ihr Abschluss macht das Server-Token ungültig, und die Stellvertretung löscht diese Stellvertretung von ihrem Gerät; ihre anderen Stellvertretungen und ihr lokaler Tresor sind nicht betroffen.

7.4 Sicherungen. Tägliche, geprüfte Sicherung der Serverdatenbank (Öffnen, Integritätsprüfung, Vorhandensein der Daten); 3 tägliche Kopien werden auf dem Server aufbewahrt, wobei die ältesten bei jeder Ausführung gelöscht werden. Zudem wird jeden Tag eine Kopie ausserhalb des Servers gezogen, auf einen Datenträger im Besitz des Herausgebers, wo sie nach einem Jahr bereinigt wird. Eine dritte Kopie ausser Haus wird jeden Tag vom Arbeitsplatz des Herausgebers zu Proton Drive übertragen (Proton AG, Genf; Server in der Schweiz, in Deutschland oder in Norwegen) — nie vom Server aus —, in ein verschlüsseltes Sicherungsrepository (restic), mit Aufbewahrung von 30 täglichen, 12 wöchentlichen und 12 monatlichen Kopien. Die Rotation behält somit keine Kopie, die älter als ein Jahr ist. Ein Vorbehalt für die Kopie ausser Haus: Was die Rotation entfernt, wird bei Proton nicht endgültig gelöscht, sondern in den Papierkorb von Proton Drive verschoben, wo es bestehen bleiben kann, bis dieser Papierkorb geleert wird; Proton bewahrt zudem eigene Sicherungen bis zu 30 Tage auf. Diese Reste sind zweifach verschlüsselt, und Proton besitzt keinen Schlüssel, um sie zu lesen. Alle Sicherungen enthalten nur verschlüsselte Blöcke: Eine gestohlene Sicherung bleibt ohne die von Ihnen gehaltenen Geheimnisse unlesbar.

Diese Sicherungen dienen der Wiederherstellung des Dienstes nach einem Vorfall. Sie bilden kein Archiv Ihrer Dokumentation, und der Herausgeber gewährleistet durch sie keine langfristige Aufbewahrung (siehe 7.2).

7.5 Vertragsende, Löschung des Kontos, Recht auf Löschung. Die lokale Löschung erfolgt sofort und unter Ihrer Kontrolle. Auf der Serverseite wird nichts auf einen Zweifel hin geschlossen: Das Ende folgt den Daten, die der Herausgeber auf Ihre Anfrage einträgt (Enddatum; Übergangsfrist, wenn Sie sie verlangen; sofortige Löschung, wenn Sie sie verlangen), und die Anwendung zeigt sie Ihnen im Bildschirm « Synchronisierung & Geräte » an.

• Bis zum Enddatum, und während einer Übergangsfrist von dreissig Tagen, wenn Sie sie verlangt haben, läuft der Dienst unverändert weiter, ohne Kosten.
• Danach folgt ein Nur-Lese-Zugang von mindestens dreissig Tagen: Ihre verschlüsselten Blöcke bleiben unversehrt, Ihre Geräte können sie noch abrufen, aber nicht mehr senden; es wird keine neue Stellvertretung eröffnet; das Identitätenfach bleibt offen, damit ein neues Gerät die Namen zurückholen kann. Der Lesezugang bleibt bis zur tatsächlichen Löschung offen.
• Die Löschung ist ein mit Werkzeugen unterstütztes Verfahren des Herausgebers, in einem einzigen Vorgang durchgeführt: Es löscht die verschlüsselten Operationen, die Medien, den Wiederherstellungszugang (Umschlag, Verwahrungsteil, Telefon, über-versiegelte Identitäten), die Zeitstempeltage, die wartenden Nachrichten, die Einladungspakete und jedes Fach einer Stellvertretung, das Sie eröffnet hatten. Der Server gibt dazu eine Quittung aus (Anzahlen, Bytes, Fingerabdrücke, darunter der Kopf der Integritätskette Ihres Journals), und der Herausgeber stellt Ihnen eine datierte Bestätigung aus, die sie anführt.
• Es bleiben, ohne Inhalt: die Zeile Ihres Kontos (undurchsichtige Kennung, Vermerk « widerrufen » und Daten), Ihre Annahmequittungen, das Zahlungsregister, das Journal des Wiederherstellungszugangs und die Einladungsverknüpfung der Stellvertretungen, für die Fristen von 7.6.

Ein blosser Widerruf, ohne Vertragsende, macht das Zugangstoken ungültig, ohne etwas zu löschen. Die verschlüsselten Kopien verschwinden danach im Zuge der Rotationen aus den Sicherungen, innerhalb von höchstens einem Jahr, unter dem Vorbehalt der Kopie ausser Haus (Papierkorb von Proton Drive und in 7.4 beschriebene Reste) — eine Sicherung lässt sich nicht einzeln ändern, ohne ihren Wert als Sicherung zu verlieren. Diese Löschung entbindet Sie nicht von der gesetzlichen Aufbewahrung der Dokumentation (7.2): Exportieren Sie sie (.carnet und, wenn Sie wollen, das lesbare Journal, 8.2) vor dem Enddatum.

7.6 Aufbewahrungsdauer der eigenen Daten des Herausgebers. Die nachstehenden Fristen betreffen nur die Daten, die der Herausgeber selbst besitzt (Abschnitt 2.2). Sie werden hier mitgeteilt, weil das Gesetz verlangt, sie in der Antwort auf ein Auskunftsbegehren anzugeben (Art. 25 Abs. 2 Bst. d DSG) und die Daten zu vernichten, sobald sie nicht mehr nötig sind (Art. 6 Abs. 4 DSG). Jede Frist stützt sich auf das, was sie notwendig macht; danach werden die Daten vernichtet.

8. Rechte der betroffenen Personen (Art. 25 ff. DSG)

8.1 Die Patientinnen und Patienten machen ihre Rechte bei Ihnen, der Pflegefachperson, geltend. Die Rechte auf Auskunft, Berichtigung und Löschung (Art. 25 ff. DSG) betreffen Daten, die nur die Pflegefachperson entschlüsseln und identifizieren kann. Diese Rechte werden daher bei Ihnen, der bzw. dem Verantwortlichen, geltend gemacht. Der Herausgeber, der keinen Zugang zum Inhalt hat, kann sie nicht bearbeiten und leitet jede Anfrage, die er irrtümlich erhält, unverzüglich an die verantwortliche Person weiter.

8.2 Der Herausgeber stellt die Werkzeuge bereit. Damit Sie diese Anfragen beantworten können und Herrin bzw. Herr Ihrer Daten bleiben, bietet « Carnet » namentlich:

(a) das « Vollständige Dossier — Auskunftsrecht (Art. 25 DSG) »: ein lesbares, druckbares und der betroffenen Person aushändigbares Dokument, das ihre gesamte Dokumentation wiedergibt — dieses, und nur dieses, beantwortet ein Auskunftsbegehren;

(b) den verschlüsselten .carnet-Export: eine Sicherung Ihrer gesamten Praxis, die nur von « Carnet » und auf dem Konto, das sie erstellt hat, wieder gelesen werden kann und die Dokumentationen aller Ihrer Patientinnen und Patienten enthält. Er ist weder ein Werkzeug zur Datenübertragbarkeit noch ein einer Patientin oder einem Patienten aushändigbares Dokument — ihn auszuhändigen würde das Berufsgeheimnis gegenüber allen anderen verletzen;

(c) den Widerruf des Synchronisierungskontos: Er sperrt den Zugang Ihrer Geräte zum Server endgültig; die bereits hinterlegten verschlüsselten Blöcke bleiben dort bis zur bestätigten Löschung bestehen, am Vertragsende oder auf Anfrage (7.5);

(d) den lokalen Zugang zur gesamten Dokumentation, jederzeit und ohne Zwischenstelle;

(e) das lesbare Journal (Schaltfläche « Lesbares Journal exportieren », Bildschirm « Datensicherung »): das Journal Ihres Carnet, auf Ihrem Gerät entschlüsselt, in einer JSON-Datei, die andere Programme lesen können, mit den Identitäten, ohne die Fotos. Diese Datei ist im Klartext: Bewahren Sie sie auf wie eine Papierakte. Sie dient dazu, das Werkzeug zu wechseln oder eine lesbare Kopie ohne Carnet zu behalten; sie ist kein Dokument, das einer Patientin oder einem Patienten ausgehändigt wird (sie enthält alle Ihre Dokumentationen);

(f) die Metadaten Ihres Kontos, die der Server besitzt, in einer JSON-Datei: automatisch dem lesbaren Journal beigefügt oder auf Anfrage per E-Mail übergeben. Sie enthält weder den Fingerabdruck Ihres Tokens noch den Verwahrungsteil noch eine IP-Adresse und nennt, was sie nicht enthält.

8.3 Ihre Rechte gegenüber dem Herausgeber betreffen nur die Daten, die der Herausgeber selbst besitzt (Abschnitt 2.2): Rechnungsangaben, Zahlungsregister, Kontokennung, technische Daten. Sie können sie über den zu Beginn des Dokuments angegebenen Kontakt geltend machen. Für die Zahlungsdaten, die Paddle besitzt (5.3), wenden Sie sich an Paddle (https://preferences.paddle.com); der Herausgeber hilft Ihnen dabei.

8 bis. Wenn Sie in der Europäischen Union, im EWR oder im Vereinigten Königreich tätig sind (DSGVO)

8 bis.1 Wer verantwortlich ist. Für Ihre Daten als Fachperson (Abonnement, Konto, Quittungen, Zahlungsregister, Wiederherstellung, Austritt) ist der Verantwortliche der Herausgeber, dessen Identität und Kontaktangaben zu Beginn dieser Erklärung stehen. Für die Zahlungsdaten, die Sie Paddle angeben, ist es Paddle (1.5, 5.3). Für die Daten Ihrer Patientinnen und Patienten sind es Sie (Abschnitt 1.1); der Herausgeber ist für die verschlüsselten Blöcke nur Ihr Auftragsverarbeiter, nach den Bestimmungen des Zonenanhangs MONDE (5.3).

8 bis.2 Vertreter. Der Herausgeber hat keinen Vertreter in der Union (Art. 27 DSGVO) und auch nicht im Vereinigten Königreich bestellt. Jede Anfrage richtet sich direkt an ihn (13.1).

8 bis.3 Verzeichnis. Der Herausgeber führt ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) für das, was er für eigene Rechnung und als Auftragsverarbeiter jeder Kundin verarbeitet, und übergibt es der Aufsichtsbehörde, die es verlangt.

8 bis.4 Rechtsgrundlagen. Jede Verarbeitung und ihre Grundlage stehen in Abschnitt 3. Für die DSGVO: die Erfüllung des Vertrags oder vorvertragliche Massnahmen auf Ihre Anfrage (Art. 6 Abs. 1 Bst. b) — Abonnement, Synchronisierung, Zahlungslink und Zahlungsseite, Austritt und Löschung; das berechtigte Interesse des Herausgebers (Art. 6 Abs. 1 Bst. f) an der Sicherheit des Dienstes, der Missbrauchsbekämpfung — einschliesslich der Prüfung, dass eine kostenlose Testphase nur einmal pro Kunde eröffnet wird (Abschnitt 3) —, dem Nachweis Ihrer Annahme, Ihrer Zahlungen und der Löschung; Ihre Einwilligung (Art. 6 Abs. 1 Bst. a) nur für die freiwillige Antwort « Wie haben Sie Carnet kennengelernt? », die Sie jederzeit widerrufen können, ohne Auswirkung auf Ihr Abonnement.

8 bis.5 Ihre Rechte. Sie haben das Recht, auf Ihre Daten zuzugreifen, sie berichtigen oder löschen zu lassen, ihre Verarbeitung einschränken zu lassen, einer auf das berechtigte Interesse gestützten Verarbeitung zu widersprechen und die von Ihnen bereitgestellten Daten in einem strukturierten Format zu erhalten (Art. 15 bis 21 DSGVO) — namentlich über die Datei der Metadaten Ihres Kontos (8.2 Bst. f). Die Löschung findet ihre Grenze in den Fristen von Abschnitt 7.6, wenn Daten für den Nachweis oder die Buchführung aufbewahrt werden müssen. Der Herausgeber antwortet innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), in Ihrer Sprache, wenn es Französisch, Englisch, Deutsch, Italienisch oder Spanisch ist. Die automatisierten Entscheidungen, die Abschnitt 3 aufzählt, sind für die Erfüllung des Vertrags erforderlich (Art. 22 Abs. 2 Bst. a DSGVO): Sie können Ihren Standpunkt darlegen, sie anfechten und erwirken, dass eine Person, der Herausgeber, sie überprüft ().

8 bis.6 Übermittlungen. Ihre Daten als Fachperson werden in der Schweiz verarbeitet, einem als angemessen anerkannten Land (6.2); die undurchsichtige Kennung Ihres Kontos geht an Paddle, im Vereinigten Königreich, und, wenn Sie bezahlen, das, was die Zahlungsseite an Paddle übermittelt (5.3).

8 bis.7 Beschwerde. Sie können bei der Aufsichtsbehörde des Staates Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmasslichen Verstosses Beschwerde einlegen (Art. 77 DSGVO); im Vereinigten Königreich beim Information Commissioner's Office. Da der Herausgeber keine Niederlassung in der Union hat, ist keine Behörde « federführend ». Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Schweiz) bleibt nach dem DSG zuständig.

8 bis.8 Ihre Patientinnen und Patienten. Ihre Rechte machen sie bei Ihnen geltend, wie in Abschnitt 8.1; die Werkzeuge von Abschnitt 8.2 dienen Ihnen auf dieselbe Weise.

8 ter. Wenn Sie in Argentinien, Chile, Panama oder Uruguay tätig sind

8 ter.1 Wer verantwortlich ist. Für Ihre Daten als Fachperson (Abonnement, Konto, Quittungen, Zahlungsregister, Wiederherstellung, Austritt) ist der Verantwortliche der Herausgeber, dessen Identität und Kontaktangaben zu Beginn dieser Erklärung stehen. Für die Zahlungsdaten, die Sie Paddle angeben, ist es Paddle (5.3). Für die Daten Ihrer Patientinnen und Patienten sind es Sie (Abschnitt 1.1): Es sind Gesundheitsdaten, besonders schützenswert im Sinne dieser Gesetze; der Herausgeber besitzt sie nur verschlüsselt, ohne sie lesen zu können, und hostet sie für Sie (Anhang MONDE, M-11.3).

8 ter.2 Kontakt. Der Herausgeber hat in keinem dieser Länder einen Vertreter. Sie, Ihre Patientinnen und Patienten und die Behörden erreichen ihn unter , einer Adresse, die er aktuell und in Betrieb hält (in Chile das Kontaktmittel, welches das Gesetz 21.719 vom dort nicht ansässigen Verantwortlichen verlangt), oder über die übrigen Kontaktangaben von Abschnitt 13.1.

8 ter.3 Was der Herausgeber bearbeitet, und warum. Die Bearbeitungen und ihre Zwecke sind jene von Abschnitt 3: den Vertrag abwickeln, den Sie schliessen (Abonnement, Synchronisierung, Zahlungslink, Austritt, Löschung), die Sicherheit des Dienstes und die Regel einer einzigen kostenlosen Testphase pro Kunde gewährleisten und den Nachweis Ihrer Annahme, Ihrer Zahlungen und der Löschung aufbewahren. Der Herausgeber bearbeitet keine Gesundheitsdaten im Klartext, verkauft und überlässt keine Daten und betreibt kein Profiling.

8 ter.4 Ihre Rechte, und die Antwortfrist. Sie können Auskunft über Ihre Daten, deren Berichtigung oder Aktualisierung, deren Löschung und, wo Ihr Gesetz es vorsieht, den Widerspruch gegen eine Bearbeitung oder deren Übertragbarkeit verlangen — namentlich über die Datei der Metadaten Ihres Kontos (8.2 Bst. f). Die Löschung findet ihre Grenze in den Fristen von Abschnitt 7.6, wenn Daten für den Nachweis aufbewahrt werden müssen. Der Herausgeber antwortet innerhalb der Frist, die das Gesetz Ihres Landes festlegt, und in Ihrer Sprache, wenn es Französisch, Englisch, Deutsch, Italienisch oder Spanisch ist. Die Auskunft ist kostenlos.

8 ter.5 Übermittlungen. Ihre Daten als Fachperson werden in der Schweiz bearbeitet (6.2); die undurchsichtige Kennung Ihres Kontos geht an Paddle, im Vereinigten Königreich, allein für die Zahlung, die Sie leisten (5.3).

8 ter.6 Beschwerde. Sie können die Behörde Ihres Landes anrufen, die in der Tabelle von 8 ter.4 genannt ist. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Schweiz) bleibt nach dem DSG zuständig.

8 ter.7 Ihre Patientinnen und Patienten. Ihre Rechte machen sie bei Ihnen geltend, wie in Abschnitt 8.1, in den Fristen Ihres Gesetzes; die Werkzeuge von Abschnitt 8.2 dienen Ihnen auf dieselbe Weise. Der Herausgeber leitet Ihnen jede Anfrage, die er irrtümlich erhält, unverzüglich weiter.

9. Datensicherheit (Art. 8 DSG, DSV SR 235.11)

Der Herausgeber setzt eine dem Risiko angemessene Sicherheit um, namentlich:

• Verschlüsselung des Inhalts mit der Bibliothek libsodium (ChaCha20-Poly1305-IETF), Hauptschlüssel von 32 Bytes, den der Herausgeber nie besitzt;
• Schlüsselableitung mit Argon2id (Kostenstufe MODERATE) aus Ihrem Passwort (Mindestlänge 12 Zeichen + lokaler Stärkeschätzer, der schwache Passwörter ablehnt; Passphrase empfohlen; kein erzwungener Wechsel — NIST SP 800-63B), Widerstandsfähigkeit gegen Brute-Force-Angriffe;
• « Blinder » Server: Die Synchronisierung behandelt nur undurchsichtige verschlüsselte Blöcke, mit einem auf der Serverseite neutralisierten Operationstyp;
• Ende-zu-Ende-Versiegelung (crypto_box_seal) der Übertragungen von Identitäten, mit menschlicher Überprüfung (SAS mit 4 Wörtern);
• Transportverschlüsselung (TLS/HTTPS, HSTS) zwischen Ihren Geräten und dem Server;
• Automatische Sperre des lokalen Tresors und verschlüsselte Entwürfe;
• Deaktivierte Zugriffsprotokolle: Die Server protokollieren keine Anfrage. Die IP-Adresse wird nur im Arbeitsspeicher verwendet, solange die Anfragebegrenzung angewendet wird, und nie gespeichert — ausserhalb des Wiederherstellungsdienstes können Konto und IP-Adresse daher nicht nachträglich miteinander verknüpft werden. Einzige Ausnahme: eine Anfrage zur Wiederherstellung des Kontos, deren (mit einem geheimen Schlüssel gebildeter) Fingerabdruck der Adresse und Datum als Nachweis gegen eine betrügerische Anfrage aufbewahrt werden (4.4);
• Firewall, fail2ban, SSH-Zugang nur per Schlüssel (Root-Konto deaktiviert), verschlüsselte Sicherungen, Hosting in der Schweiz.

Die Stärke dieses Schutzes beruht entscheidend auf der Vertraulichkeit Ihrer Geheimnisse (Passwort, Wiederherstellungsschlüssel), die nur Sie besitzen: Bewahren Sie sie sicher, getrennt und dauerhaft auf.

Überprüfbarkeit. Der Code von « Carnet » ist frei (AGPLv3) und soll unter der Adresse https://carnet.health/source/ öffentlich prüfbar sein, wo das Archiv jeder veröffentlichten Version bei jeder Inbetriebnahme hinterlegt und geprüft wird. Diese Eigenschaften können von Ihnen oder von beliebigen Dritten Ihrer Wahl überprüft werden.

10. Ehrliche Grenzen des Zero-Knowledge-Modells (Metadaten)

Das Modell « der Server kann nicht lesen » ist real und durch die Tests überprüft: Der Synchronisierungsserver entschlüsselt nichts; er speichert verschlüsselte Blöcke und gibt sie zurück. Der Schlüssel (CMK) verlässt das Gerät nie; Passwort, Wiederherstellungsschlüssel und Biometrie laufen nie über den Server. Auch der Herausgeber kann die Dokumentationen nicht lesen (er hat den CMK nicht).

Ehrlicherweise, und ohne zu viel zu versprechen: Zero-Knowledge schützt den Inhalt, nicht alle Metadaten. Wer den Server im Betrieb beobachtete, könnte Folgendes sehen: die Kontokennung (ein undurchsichtiges Pseudonym, nicht aus Patientendaten abgeleitet, aber in den URL-Pfaden vorhanden), die Grösse der Blöcke (z. B. ein Foto von einer Notiz unterscheiden), die Aktivitätskadenz und den Graphen der verbundenen Geräte — nie den medizinischen Inhalt, nie die Namen. Das gewählte Bedrohungsmodell ist « neugieriger Betreiber »: Deshalb sind die Zugriffsprotokolle des Servers deaktiviert — nichts wird geschrieben, die IP-Adresse lebt nur im Arbeitsspeicher für die Anfragebegrenzung: Ausserhalb des Wiederherstellungsdienstes können Konto und IP-Adresse nicht nachträglich miteinander verknüpft werden. Diese Metadaten sind nur live beobachtbar für die Person, die den Server betreibt, und lassen sich nicht nachträglich aus einem Protokoll rekonstruieren — mit einer Ausnahme: Für den Integritätszeitstempel bewahrt der Server pro Konto die Tage auf, an denen sich das Journal geändert hat (Tabelle der Verankerungen), ohne etwas von ihrem Inhalt. Das Auffüllen (Padding) der Blobs ist bewusst nicht umgesetzt (ausserhalb des Modells für ein kontrolliertes Hosting). Schliesslich tritt die dem Krankenversicherer übermittelte Rechnung aus dem Zero-Knowledge-Modell heraus: Sie ist aufgrund einer gesetzlichen Pflicht im Klartext (Abschnitt 5.2).

11. Verletzungen der Datensicherheit (Art. 24 DSG)

11.1 Ein verschlüsselter Block, der abfliesst, ist unbrauchbar. Bei einem Vorfall, der den Synchronisierungsserver betrifft, beschränkt sich das, was offengelegt werden könnte, auf unverständliche verschlüsselte Blöcke und undurchsichtige Kennungen: Es werden keine Patientendaten im Klartext offengelegt. Eine solche Verletzung führt daher grundsätzlich nicht zu einem hohen Risiko für die betroffenen Personen (Art. 24 Abs. 1 DSG). Dies ist ein ehrlicher Hinweis, keine Garantie, dass nie etwas geschehen kann.

11.2 Wer was meldet. Der Herausgeber meldet der bzw. dem Verantwortlichen (Ihnen) unverzüglich jede Verletzung, welche die anvertrauten Daten betrifft. Die Beurteilung, ob eine Meldung an den EDÖB und an die betroffenen Personen nötig ist, obliegt letztlich Ihnen (als Verantwortliche bzw. Verantwortlicher), wobei der Herausgeber Ihnen angemessene Unterstützung leistet. Für die Daten, die der Herausgeber selbst besitzt, erfüllt er seine eigenen Meldepflichten. Eine Verletzung bei Paddle ist Sache von Paddle, das sie meldet, wenn das Gesetz es verlangt; der Herausgeber informiert Sie, sobald er davon Kenntnis erhält.

12. Cookies und lokaler Speicher

12.1 Keine Cookies Dritter, keine Werbetracker. « Carnet » verwendet keine Tracking-Cookies, keine Pixel, keine Tags Dritter — weder in der Anwendung noch auf der Website, Preisseite inbegriffen. Nur die Zahlungsseite carnet.health/paiement/ lädt das Zahlungsmodul von Paddle: Beim Laden legt es ein einziges technisches Cookie zum Schutz vor Robotern ab (__cf_bm, Domain paddle.com, dreissig Minuten, gemessen am 9. Oktober 2026, Seite ohne Transaktion geladen); was das Zahlungsformular von Paddle danach ablegt oder liest, dient der Zahlung und der Betrugsvorbeugung und richtet sich nach seiner Datenschutzerklärung (5.3). Die Anwendung nutzt ausschliesslich technischen lokalen Speicher auf Ihrem Gerät (IndexedDB), der für ihren Offline-Betrieb und die verschlüsselte Aufbewahrung Ihres Tresors nötig ist. Diese Daten bleiben auf Ihrem Gerät und werden dem Herausgeber nicht im Klartext übermittelt.

13. Kontakt, Änderungen, Datum

13.1 Kontakt. Für alle Fragen zu dieser Erklärung oder zur Ausübung Ihrer Rechte an den Daten, die der Herausgeber besitzt: , telefonisch unter +41 77 276 96 99 oder per Post an David Lambrecht, Rue du Bourg 55, 3960 Sierre (VS), Schweiz. Eine E-Mail-Adresse allein würde für die förmliche Ausübung eines Auskunftsrechts nicht genügen: Die Postadresse wird daher angegeben und nicht mehr nur auf Anfrage mitgeteilt.

13.2 Änderungen. Der Herausgeber kann diese Erklärung anpassen, um technischen, rechtlichen oder den Dienst betreffenden Entwicklungen Rechnung zu tragen. Jede Änderung wird durch Anzeige in der Anwendung oder auf elektronischem Weg mitgeteilt. Anwendbar ist die zum Zeitpunkt Ihrer Nutzung geltende Version; Datum und Versionsnummer stehen zu Beginn des Dokuments.

13.3 Anwendbares Recht. Diese Erklärung und die darin beschriebenen Bearbeitungen unterstehen dem Schweizer Recht, insbesondere dem DSG (SR 235.1) und der DSV (SR 235.11). Für die Bearbeitungen im Zusammenhang mit dem Angebot des verwalteten Dienstes im Europäischen Wirtschaftsraum gilt zusätzlich die DSGVO (Art. 3 Abs. 2 Bst. a) und im Vereinigten Königreich die DSGVO in ihrer Übernahme ins britische Recht: Abschnitt 8 bis fasst die Angaben zusammen.