Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung im Sinne des Schweizer Datenschutzgesetzes (revDSG) ist:

Ferlo AG
Kanzleistrasse 80
8004 Zürich
Schweiz
datenschutz@ferlo.ch

2. Grundsätze der Datenbearbeitung

Ferlo wurde nach dem Prinzip «Privacy by Design» entwickelt. Es werden bewusst keine identifizierenden Daten erhoben, unabhängig davon, welches der von Ferlo angebotenen Anliegen du auswählst (z.B. Notfallverhütung, Erektionsprobleme, Hämorrhoiden, Vaginalpilz, Haarausfall, Ängstlichkeit & Nervosität, Niedergeschlagenheit, Blasenschwäche, Fruchtbarkeit oder Fragen zu Geschlechtskrankheiten — diese Liste ist nicht abschliessend und erweitert sich laufend). Insbesondere:

• Ausserhalb der unter Ziffer 3.6–3.8 beschriebenen, vollständig freiwilligen Angaben: kein Name, keine E-Mail, keine Telefonnummer.
• Kein Benutzerkonto, keine Anmeldung.
• Keine Zahlung über Ferlo (keine Kreditkartendaten).
• Keine Weitergabe an Werbenetzwerke.
• Keine Werbung auf Ferlo.

Eine nachträgliche Zuordnung einer Anfrage zu einer Person ist durch Ferlo nicht möglich.

Wichtig: Ferlo zeigt dir bei der Apothekenwahl zwei Arten von Apotheken zur Auswahl — Partnerapotheken und weitere Apotheken ohne Zusammenarbeitsvereinbarung mit Ferlo («Ohne Abholcode»). Wie deine Daten in den beiden Fällen behandelt werden, unterscheidet sich grundlegend — siehe Ziffer 3.1 und 3.2.

3. Erhobene Daten und Zweck

3.1 Partnerapotheken — Anfrage- und Screening-Daten

Wenn du eine mit «Partner» gekennzeichnete Apotheke wählst, besteht eine Zusammenarbeitsvereinbarung zwischen dieser Apotheke und Ferlo.

• Inhalt: Gewählte Apotheke, anonymer Abholcode, gewähltes Anliegen, Zeitstempel, Produktpräferenz, sowie deine Antworten auf die jeweiligen Sicherheitsfragen. Beim Anliegen «Pille danach» folgen diese Fragen dem offiziellen Abgabeprotokoll von pharmaSuisse und der Interdisziplinären Expertengruppe für Notfallkontrazeption (IENK). Bei den übrigen Anliegen handelt es sich um eigens von Ferlo zusammengestellte, an öffentlich zugänglichen Fachinformationen orientierte Fragebögen zur Gesprächsvorbereitung — sie ersetzen keine medizinische Diagnose (siehe auch Nutzungsbedingungen, Ziffer 4).
• Zweck: Übermittlung der Anfrage an die Partnerapotheke, Vorbereitung des Beratungsgesprächs, Abwicklung der Abholung.
• Empfänger: Ausschliesslich die von dir gewählte Partnerapotheke, sichtbar in deren Ferlo-Dashboard.
• Personenbezug: Kein direkter Personenbezug. Es wird kein Name, keine Telefonnummer und keine E-Mail erhoben.
• Speicherdauer: Der Abholcode läuft nach 24 Stunden automatisch ab. Das Anfragedokument wird nach 60 Tagen automatisch gelöscht — diese Frist orientiert sich am Abrechnungs- und Klärungsfenster für die Provisionsabrechnung mit der Partnerapotheke.

3.2 Apotheken «Ohne Abholcode» — keine Übermittlung an die Apotheke

Ferlo zeigt dir zusätzlich weitere Apotheken der jeweiligen Stadt, mit denen keine Zusammenarbeitsvereinbarung besteht — erkennbar am Hinweis «Ohne Abholcode». Das Datenschutzverfahren ist hier bewusst anders:

• Keine Übermittlung durch Ferlo: Ferlo sendet der gewählten Apotheke in diesem Fall keinerlei Daten. Die Apotheke erfährt nichts von deiner Anfrage, solange du nicht selbst bei ihr erscheinst.
• Was du erhältst: Eine Zusammenfassung deiner Angaben (dieselben Sicherheitsfragen wie unter 3.1), die auf deinem Gerät angezeigt wird. Du kannst sie dir optional selbst per E-Mail zusenden, um sie am Schalter zu zeigen.
• Interne, anonyme Auswertung: Ferlo speichert intern und ohne Personenbezug, welche nicht-Partner-Apotheke wie oft ausgewählt wurde und für welches Anliegen. Diese Auswertung dient ausschliesslich internen Zwecken (z.B. um interessierten Apotheken zu zeigen, wie oft sie bereits nachgefragt wurden) und wird nicht an die betroffene Apotheke oder Dritte mit Personenbezug weitergegeben.
• Personenbezug: Kein Personenbezug, weder bei der Zusammenfassung noch bei der internen Auswertung.
• Speicherdauer: Die interne Auswertung wird nach 60 Tagen automatisch gelöscht. Die Zusammenfassung selbst wird von Ferlo nicht gespeichert, sobald sie auf deinem Gerät angezeigt wurde — schickst du sie dir per E-Mail, unterliegt sie ab dann deinem eigenen E-Mail-Anbieter, nicht mehr Ferlo.

3.3 STI-Anliegen (optional)

Wenn du Angaben zu einem möglichen Risikokontakt oder Symptomen machst, wird diese Angabe — bei Partnerapotheken an die Apotheke, bei «Ohne Abholcode»-Apotheken nur in die eigene Zusammenfassung — aufgenommen. Ferlo gibt dabei keine eigene Dringlichkeits-Einstufung ab; es werden dir immer dieselben Anlaufstellen (Testcenter-Liste, Hausarztverweis) angezeigt, unabhängig von deinen Antworten.

• Zweck: Vorbereitung des Gesprächs vor Ort.
• Personenbezug: Kein direkter Personenbezug.
• Speicherdauer: Bei Partnerapotheken wie unter 3.1, bei «Ohne Abholcode» wie unter 3.2 beschrieben.

3.4 Anonymisiertes Rezept-Bild (bei rezeptpflichtigen Produkten)

Für einzelne Anliegen bietet Ferlo optional die Möglichkeit, ein anonymisiertes Rezeptbild hochzuladen, um zusätzlich rezeptpflichtige Produkte anzuzeigen.

• Zweck: Automatisierte Vorabprüfung, ob das Bild wie ein gültiges Rezept aussieht, und Auslesen von Wirkstoff/Dosierung — nicht Prüfung der Echtheit. Das Bild wird für keinen anderen Zweck verwendet.
• Inhalt: Das Bild soll anonymisiert sein (Name und Geburtsdatum durch dich selbst abgedeckt). Wirkstoff, Dosierung, Datum und Arztinformationen bleiben sichtbar.
• Verarbeitung: Die automatisierte Analyse erfolgt durch einen KI-Dienst (Anthropic). Es werden dabei keine Personendaten übermittelt, sofern das Rezept korrekt anonymisiert wurde.
• Speicherdauer: Das Rezeptbild wird verschlüsselt auf Schweizer Servern gespeichert und nach erfolgreicher Abgabe automatisch gelöscht.
• Wichtig: Das Originalrezept ist bei der Abholung zwingend mitzubringen — die Vorabprüfung ersetzt es nicht.

3.5 Anonyme Analytics-Events

• Inhalt: Anonyme Ereignisse im Ablauf (z.B. «Anliegen ausgewählt», «Frage beantwortet», «Code generiert»), verknüpft mit einer zufälligen Session-ID ohne Personenbezug.
• Zweck: Interne Nutzungsanalyse zur Verbesserung der Plattform. Keine Weitergabe an Dritte.
• Personenbezug: Kein Personenbezug. Die Session-ID ist zufällig generiert und wird nicht mit anderen Daten verknüpft.
• Speicherdauer: 12 Monate, dann automatisch gelöscht.

3.6 Themeninteresse (optional)

Für Themen, die Ferlo noch nicht anbietet, kannst du optional angeben, dass du informiert werden möchtest, sobald das Angebot verfügbar ist.

• Inhalt: Gewähltes Thema, deine E-Mail-Adresse, Zeitpunkt der Anmeldung.
• Zweck: Benachrichtigung, sobald das Thema verfügbar ist; interne Einschätzung der Nachfrage pro Thema.
• Freiwilligkeit: Diese Angabe ist vollständig freiwillig und für die Nutzung der übrigen Plattform nicht erforderlich.
• Personenbezug: Die E-Mail-Adresse ist ein personenbezogenes Datum. Sie wird ausschliesslich für den genannten Zweck verwendet und nicht mit Anfrage- oder Screening-Daten verknüpft.
• Empfänger: Keine Weitergabe an Dritte.

3.7 «Fehlt dir etwas?» — Produktwunsch (optional)

Bei der Produktauswahl kannst du optional angeben, welches Produkt (Handelsname und/oder Wirkstoff, Dosierung) du dir zusätzlich wünschst, und dich optional per E-Mail benachrichtigen lassen, sobald es verfügbar ist.

• Inhalt: Freitext-Angabe zum gewünschten Produkt, optional deine E-Mail-Adresse.
• Zweck: Einschätzung der Nachfrage, optionale Benachrichtigung.
• Freiwilligkeit: Vollständig freiwillig.
• Empfänger: Keine Weitergabe an Dritte.

3.8 Weiterleitung an Online-Arzt-Partner (optional)

Für einzelne Anliegen bietet Ferlo eine Weiterleitung an einen externen Online-Arzt-Partner an, falls du kein Rezept besitzt.

• Inhalt: Ein zufällig generiertes, einmaliges Kennzeichen (Token) ohne Personenbezug, das den Hin- und Rückweg derselben anonymen Anfrage technisch zusammenführen kann, falls der Partner dieses Kennzeichen in seinem eigenen Rückkehr-Link mitgibt.
• Zweck: Nachvollziehbarkeit der Weiterleitung für interne Auswertung.
• Personenbezug: Kein Personenbezug. Auf der Zielseite des Online-Arzt-Partners gilt dessen eigene Datenschutzerklärung, nicht diese hier.
• Für Anliegen ohne aktive Partnerschaft: Statt einer Weiterleitung kannst du optional deine E-Mail-Adresse hinterlassen, um informiert zu werden, sobald eine Partnerschaft besteht (freiwillig, siehe Ziffer 3.6).
• Speicherdauer: 60 Tage, dann automatisch gelöscht.

3.9 Technische Daten

Beim Besuch von ferlo.ch werden technische Daten erhoben (IP-Adresse, Browser-Typ, Zeitstempel). Diese werden für den Betrieb der Infrastruktur benötigt und nicht mit Anfragedaten verknüpft.

4. Drittanbieter und Datenübermittlung

Ferlo nutzt folgende Drittanbieter:

Ferlo setzt kein Stripe (keine Zahlung über Ferlo) und kein Twilio (kein SMS-Versand) ein. Es werden keine Zahlungsdaten und keine Telefonnummern verarbeitet.

Falls du eine Zusammenfassung per E-Mail an dich selbst sendest, öffnet sich dein eigenes E-Mail-Programm (Mailto-Link). Ferlo verarbeitet dabei keine E-Mail-Adresse und sieht nicht, ob oder an wen du die Zusammenfassung verschickst.

Soweit Daten in Länder ausserhalb der Schweiz übermittelt werden, stützt sich Ferlo auf geeignete Garantien (Standardvertragsklauseln). Firebase-Daten werden bevorzugt im Rechenzentrum Zürich (europe-west6) gespeichert.

5. Datensicherheit

Ferlo trifft angemessene technische und organisatorische Massnahmen zum Schutz der Daten:

• Verschlüsselung der Datenübertragung (HTTPS).
• App Check: Nur verifizierte Ferlo-Apps können auf die Datenbank zugreifen.
• Zugriffsbeschränkungen: Jede Partnerapotheke sieht ausschliesslich ihre eigenen Anfragen. Apotheken «Ohne Abholcode» haben keinerlei Systemzugriff.
• Automatische Löschung nach 60 Tagen (Anfragedaten, interne Auswertung, Rezeptbilder) bzw. 12 Monaten (Analytics).
• Keine Speicherung von Zahlungsdaten oder Telefonnummern.

6. Rechte der betroffenen Personen

Nach revDSG hast du folgende Rechte:

• Auskunft: Du kannst Auskunft über die zu deiner Person gespeicherten Daten verlangen.
• Berichtigung: Du kannst die Berichtigung unrichtiger Daten verlangen.
• Löschung: Du kannst die Löschung deiner Daten verlangen.
• Einschränkung: Du kannst die Einschränkung der Bearbeitung verlangen.

Da die Nutzung von Ferlo grundsätzlich anonym erfolgt und keine identifizierenden Daten erhoben werden, ist eine nachträgliche Zuordnung einer Anfrage oder Zusammenfassung zu einer Person durch Ferlo nicht möglich. Das gilt bei «Ohne Abholcode»-Apotheken umso mehr, da dort noch nicht einmal ein Anfragedokument bei Ferlo verbleibt. Eine Auskunft über spezifische Anfragen ist daher technisch nicht realisierbar. Ausgenommen sind die unter Ziffer 3.6–3.8 beschriebenen, freiwilligen E-Mail-Angaben — hierzu ist eine Auskunft möglich.

Für Anfragen: datenschutz@ferlo.ch

7. Lokale Speicherung im Browser

Ferlo verwendet keine Tracking-Cookies und keine Werbecookies. Es wird keine lokale Speicherung (localStorage / sessionStorage) für Anfragedaten verwendet — Daten zu Partnerapotheken werden direkt in Firestore gespeichert und im Browser nur angezeigt. Die Zusammenfassung für Apotheken «Ohne Abholcode» wird ausschliesslich im Browser erzeugt und angezeigt, nicht dauerhaft bei Ferlo gespeichert.

Es werden keine Daten an Werbenetzwerke übermittelt. Es gibt keine Werbung auf Ferlo.

8. Änderungen dieser Datenschutzerklärung

Ferlo behält sich das Recht vor, diese Datenschutzerklärung anzupassen — insbesondere im Zuge der Erweiterung um neue Anliegen. Die aktuelle Version ist stets auf ferlo.ch/legal/privacy_gesundheit abrufbar.

9. Kontakt und Beschwerden

Bei Fragen zum Datenschutz:
datenschutz@ferlo.ch
Ferlo AG, Kanzleistrasse 80, 8004 Zürich

Du hast das Recht, dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu beschweren.