Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung im Sinne des Schweizer Datenschutzgesetzes (revDSG) ist:

Ferlo AG
Kanzleistrasse 80
8004 Zürich
Schweiz
datenschutz@ferlo.ch

2. Grundsätze der Datenbearbeitung

Ferlo wurde nach dem Prinzip «Privacy by Design» entwickelt. Es werden bewusst keine identifizierenden Daten erhoben, unabhängig davon, welches der von Ferlo angebotenen Anliegen du auswählst (z.B. Notfallverhütung, Erektionsprobleme, Hämorrhoiden, Vaginalpilz, Haarausfall, Ängstlichkeit & Nervosität, Niedergeschlagenheit, Blasenschwäche, Fruchtbarkeit oder Fragen zu Geschlechtskrankheiten — diese Liste ist nicht abschliessend und erweitert sich laufend). Insbesondere:

• Ausserhalb der unter Ziffer 3.6–3.8 und 3.11 beschriebenen, vollständig freiwilligen Angaben: kein Name, keine E-Mail, keine Telefonnummer.
• Kein Benutzerkonto, keine Anmeldung.
• Keine Zahlung über Ferlo (keine Kreditkartendaten).
• Keine Weitergabe an Werbenetzwerke.
• Keine Werbung auf Ferlo.

Eine nachträgliche Zuordnung einer Anfrage zu einer Person ist durch Ferlo nicht möglich.

Ferlo ist ausschliesslich Vermittler und technischer Übermittlungskanal zwischen dir und der jeweiligen Apotheke. Die Richtigkeit deiner Angaben liegt in deiner Verantwortung, die fachliche Beurteilung und Abgabeentscheidung liegt ausschliesslich bei der Apotheke. Details zur Haftungsverteilung findest du in den Nutzungsbedingungen, insbesondere Ziffer 2, 4, 5, 6 und 13.

Wichtig: Ferlo zeigt dir bei der Apothekenwahl zwei Arten von Apotheken zur Auswahl — Partnerapotheken und weitere Apotheken ohne Zusammenarbeitsvereinbarung mit Ferlo («Ohne Abholcode»). Wie deine Daten in den beiden Fällen behandelt werden, unterscheidet sich grundlegend — siehe Ziffer 3.1 und 3.2.

3. Erhobene Daten und Zweck

3.1 Partnerapotheken — Anfrage- und Screening-Daten

Wenn du eine mit «Partner» gekennzeichnete Apotheke wählst, besteht eine Zusammenarbeitsvereinbarung zwischen dieser Apotheke und Ferlo.

• Inhalt: Gewählte Apotheke, anonymer Abholcode, gewähltes Anliegen, Zeitstempel, Produktpräferenz, sowie deine Antworten auf die jeweiligen Sicherheitsfragen. Beim Anliegen «Pille danach» folgen diese Fragen dem offiziellen Abgabeprotokoll von pharmaSuisse und der Interdisziplinären Expertengruppe für Notfallkontrazeption (IENK). Bei den übrigen Anliegen handelt es sich um eigens von Ferlo zusammengestellte, an öffentlich zugänglichen Fachinformationen orientierte Fragebögen zur Gesprächsvorbereitung — sie ersetzen keine medizinische Diagnose (siehe auch Nutzungsbedingungen, Ziffer 4).
• Zweck: Übermittlung der Anfrage an die Partnerapotheke, Vorbereitung des Beratungsgesprächs, Abwicklung der Abholung.
• Empfänger: Ausschliesslich die von dir gewählte Partnerapotheke, sichtbar in deren Ferlo-Dashboard.
• Personenbezug: Kein direkter Personenbezug. Es wird kein Name, keine Telefonnummer und keine E-Mail erhoben.
• Speicherdauer: Der Abholcode läuft nach 3 Tagen automatisch ab. Das Anfragedokument wird nach 60 Tagen automatisch gelöscht — diese Frist orientiert sich am Abrechnungs- und Klärungsfenster für die Provisionsabrechnung mit der Partnerapotheke.

3.2 Apotheken «Ohne Abholcode» — keine Übermittlung an die Apotheke

Ferlo zeigt dir zusätzlich weitere Apotheken der jeweiligen Stadt, mit denen keine Zusammenarbeitsvereinbarung besteht — erkennbar am Hinweis «Ohne Abholcode». Das Datenschutzverfahren ist hier bewusst anders:

• Keine Übermittlung durch Ferlo: Ferlo sendet der gewählten Apotheke in diesem Fall keinerlei Daten. Die Apotheke erfährt nichts von deiner Anfrage, solange du nicht selbst bei ihr erscheinst.
• Was du erhältst: Eine Zusammenfassung deiner Angaben (dieselben Sicherheitsfragen wie unter 3.1), die auf deinem Gerät angezeigt wird. Du zeigst sie am Schalter vor.
• Interne, anonyme Auswertung: Ferlo speichert intern und ohne Personenbezug, welche nicht-Partner-Apotheke wie oft ausgewählt wurde bzw. bei welcher in der Sprechstunden-Auswahl auf «Anfrage senden» geklickt wurde, und für welches Anliegen. Die E-Mail an die Apotheke versendest du selbst über dein eigenes E-Mail-Programm, Ferlo sieht sie nicht. Diese Auswertung dient ausschliesslich internen Zwecken (z.B. um interessierten Apotheken zu zeigen, wie oft sie bereits nachgefragt wurden) und wird nicht an die betroffene Apotheke oder Dritte mit Personenbezug weitergegeben.
• Personenbezug: Kein Personenbezug, weder bei der Zusammenfassung noch bei der internen Auswertung.
• Speicherdauer: Die interne Auswertung wird nach 60 Tagen automatisch gelöscht. Die Zusammenfassung selbst wird von Ferlo nicht gespeichert.

3.3 STI-Anliegen (optional)

Wenn du Angaben zu einem möglichen Risikokontakt oder Symptomen machst, wird diese Angabe — bei Partnerapotheken an die Apotheke, bei «Ohne Abholcode»-Apotheken nur in die eigene Zusammenfassung — aufgenommen. Ferlo gibt dabei keine eigene Dringlichkeits-Einstufung ab; es werden dir immer dieselben Anlaufstellen (Testcenter-Liste, Hausarztverweis) angezeigt, unabhängig von deinen Antworten.

• Zweck: Vorbereitung des Gesprächs vor Ort.
• Personenbezug: Kein direkter Personenbezug.
• Speicherdauer: Bei Partnerapotheken wie unter 3.1, bei «Ohne Abholcode» wie unter 3.2 beschrieben.

3.4 Anonymisiertes Rezept-Bild (bei rezeptpflichtigen Produkten)

Für einzelne Anliegen bietet Ferlo optional die Möglichkeit, ein anonymisiertes Rezeptbild hochzuladen, um zusätzlich rezeptpflichtige Produkte anzuzeigen.

• Zweck: Automatisierte Vorabprüfung, ob das Bild wie ein gültiges Rezept aussieht, und Auslesen von Wirkstoff/Dosierung — nicht Prüfung der Echtheit. Das Bild wird für keinen anderen Zweck verwendet.
• Inhalt: Das Bild soll anonymisiert sein (Name und Geburtsdatum durch dich selbst abgedeckt). Wirkstoff, Dosierung, Datum und Arztinformationen bleiben sichtbar.
• Verarbeitung: Die automatisierte Analyse erfolgt durch einen KI-Dienst (Anthropic). Es werden dabei keine Personendaten übermittelt, sofern das Rezept korrekt anonymisiert wurde.
• Speicherdauer: Das Rezeptbild wird verschlüsselt auf Schweizer Servern gespeichert und nach erfolgreicher Abgabe automatisch gelöscht.
• Wichtig: Das Originalrezept ist bei der Abholung zwingend mitzubringen — die Vorabprüfung ersetzt es nicht.

3.5 Anonyme Analytics-Events

• Inhalt: Anonyme Ereignisse im Ablauf (z.B. «Anliegen ausgewählt», «Frage beantwortet», «Code generiert»), verknüpft mit einer zufälligen Session-ID ohne Personenbezug.
• Zweck: Interne Nutzungsanalyse zur Verbesserung der Plattform. Keine Weitergabe an Dritte.
• Personenbezug: Kein Personenbezug. Die Session-ID ist zufällig generiert und wird nicht mit anderen Daten verknüpft.
• Speicherdauer: 12 Monate, dann automatisch gelöscht.

3.6 Themeninteresse (optional)

Für Themen, die Ferlo noch nicht anbietet, kannst du optional angeben, dass du informiert werden möchtest, sobald das Angebot verfügbar ist.

• Inhalt: Gewähltes Thema, deine E-Mail-Adresse, Zeitpunkt der Anmeldung.
• Zweck: Benachrichtigung, sobald das Thema verfügbar ist; interne Einschätzung der Nachfrage pro Thema.
• Freiwilligkeit: Diese Angabe ist vollständig freiwillig und für die Nutzung der übrigen Plattform nicht erforderlich.
• Personenbezug: Die E-Mail-Adresse ist ein personenbezogenes Datum. Sie wird ausschliesslich für den genannten Zweck verwendet und nicht mit Anfrage- oder Screening-Daten verknüpft.
• Empfänger: Keine Weitergabe an Dritte.

3.7 «Fehlt dir etwas?» — Produktwunsch (optional)

Bei der Produktauswahl kannst du optional angeben, welches Produkt (Handelsname und/oder Wirkstoff, Dosierung) du dir zusätzlich wünschst, und dich optional per E-Mail benachrichtigen lassen, sobald es verfügbar ist.

• Inhalt: Freitext-Angabe zum gewünschten Produkt, optional deine E-Mail-Adresse.
• Zweck: Einschätzung der Nachfrage, optionale Benachrichtigung.
• Freiwilligkeit: Vollständig freiwillig.
• Empfänger: Keine Weitergabe an Dritte.

3.8 Weiterleitung an Online-Arzt-Partner (optional)

Für einzelne Anliegen bietet Ferlo eine Weiterleitung an einen externen Online-Arzt-Partner (aktuell Telemedes) an, falls du kein Rezept besitzt. Erst wenn du auf «Konsultation starten» klickst, übermittelt Ferlo deine Antworten an den Partner.

• Inhalt: Deine Antworten auf die Fragen der ärztlichen Abklärung (z.B. Altersbestätigung, Angaben zu Beschwerden, Vorerkrankungen und Medikamenten) sowie ein zufällig generiertes, einmaliges Kennzeichen (Token) ohne Personenbezug, das zusammen mit den Antworten an den Partner übermittelt wird.
• Zweck: Vorbereitung der ärztlichen Einschätzung, damit du die Fragen dort nicht nochmals beantworten musst. Nachvollziehbarkeit der Weiterleitung für interne Auswertung.
• Gesundheitsdaten: Deine Antworten sind Gesundheitsdaten. Du entscheidest selbst, ob du sie übermittelst: Ohne deinen Klick auf «Konsultation starten» verlassen sie dein Gerät nicht.
• Empfänger: Der Online-Arzt-Partner. Dort gilt dessen eigene Datenschutzerklärung, nicht diese hier. Ferlo gibt die Antworten nicht an weitere Dritte weiter.
• Personenbezug bei Ferlo: Ferlo erhebt weiterhin keinen Namen, keine E-Mail und keine Telefonnummer. Was du beim Partner selbst angibst, erfährt Ferlo nicht.
• Speicherung bei Ferlo: Ferlo leitet die Antworten nur weiter und speichert sie nicht. Es wird lediglich ein anonymes Ereignis «Konsultation gestartet» erfasst (siehe Ziffer 3.5).
• Für Anliegen ohne aktive Partnerschaft: Statt einer Weiterleitung kannst du optional deine E-Mail-Adresse hinterlassen, um informiert zu werden, sobald eine Partnerschaft besteht (freiwillig, siehe Ziffer 3.6).

3.9 Medikamenten-Suche und Verfügbarkeitsanfrage per UID

Alternativ zur Kategorien-Auswahl kannst du ein Medikament direkt über den Handelsnamen suchen und eine Verfügbarkeitsanfrage an eine Apotheke deiner Wahl stellen.

• Inhalt: Gewähltes Medikament (inkl. Dosierung und Darreichungsform), gewählte Apotheke, Angabe, ob du eine Weiterleitung an weitere Apotheken wünschst, sowie bei rezeptpflichtigen Produkten eine reine Selbstbestätigung («Checkbox»), dass du im Besitz eines gültigen Rezepts bist.
• Kein Rezeptbild: Anders als bei Ziffer 3.4 wird in diesem Verfahren kein Bild hochgeladen oder geprüft. Die Selbstbestätigung wird von Ferlo nicht verifiziert. Ob sie zutrifft, liegt allein in deiner Verantwortung. Das Originalrezept ist bei der Abholung zwingend mitzubringen.
• Zweck: Anfrage bei der gewählten Apotheke, ob das Medikament vorrätig ist bzw. wann es lieferbar wäre. Eine von der Apotheke gemeldete Verfügbarkeit sowie sonstige Angaben der Apotheke (z.B. zu Lieferzeiten) werden von Ferlo nicht auf Richtigkeit geprüft und sind keine Zusicherung, dass das Produkt bis zur Abholung tatsächlich verfügbar bleibt.
• Anfrage-UID: Anstelle eines Kontos erhältst du eine zufällig generierte, 32-stellige Kennung («Anfrage-UID»), mit der du jederzeit unter ferlo.ch/anfragen («Meine Anfragen») den Status einsehen oder deine eigene Anfrage stornieren kannst. Diese UID ist nicht mit einer Person verknüpft. Wer sie kennt, kann die zugehörige Anfrage einsehen oder stornieren, vergleichbar mit dem Abholcode nach Ziffer 3.1. Optional kannst du sie auf deinem Gerät speichern (Ziffer 3.12).
• Empfänger bei Partnerapotheken: Die gewählte Partnerapotheke erhält die Anfrage automatisiert in ihrem Ferlo-Dashboard. Reagiert sie nicht innert 24 Stunden, oder lehnt sie die Anfrage aktiv ab und wurde eine Weiterleitung gewünscht, wird dieselbe Anfrage automatisch an weitere aktive Partnerapotheken im Umkreis von rund 5 km um die ursprünglich gewählte Apotheke weitergeleitet.
• Empfänger bei Apotheken ohne Zusammenarbeitsvereinbarung: Die Anfrage wird der Apotheke per E-Mail zugestellt. Antwortet die Apotheke, geht diese Antwort per E-Mail bei Ferlo ein und wird manuell durch Ferlo gesichtet und dem jeweiligen Anfragestatus zugeordnet. Es findet insoweit keine vollautomatische Verarbeitung statt.
• Personenbezug: Kein Personenbezug. Es wird kein Name, keine Telefonnummer und keine E-Mail-Adresse der anfragenden Person erhoben.
• Speicherdauer: Die Anfrage wird nach 60 Tagen automatisch gelöscht, unabhängig vom Status.

3.10 Apothekensprechstunde (Termin oder Besuch ohne Voranmeldung)

Für einzelne Anliegen kannst du bei einer Partnerapotheke eine Sprechstunde nutzen, entweder ohne Voranmeldung oder mit Terminbuchung.

• Inhalt: Gewählte Apotheke, Anliegen, bei einer Terminbuchung der gewählte Zeitpunkt, ein anonymer Code, deine Altersbestätigung und deine Antworten auf die Fragen der Sprechstunde.
• Zweck: Vorbereitung des Gesprächs. Die Apotheke sieht deine Antworten schon vorher.
• Empfänger: Ausschliesslich die gewählte Partnerapotheke, sichtbar in deren Ferlo-Dashboard. Bei einer Terminbuchung wird der Termin zusätzlich im Kalender der Apotheke eingetragen (Microsoft 365, siehe Ziffer 4). Der Kalendereintrag enthält keine deiner Antworten.
• Personenbezug: Kein Personenbezug. Es wird kein Name, keine E-Mail und keine Telefonnummer erhoben.
• Speicherdauer: Wie unter Ziffer 3.1.

3.11 Feedback («Inputs?») (optional)

Über den Knopf «Inputs?» kannst du uns eine Rückmeldung senden.

• Inhalt: Deine Auswahl zu «Wo stehst du gerade?», dein Freitext, optional deine E-Mail-Adresse, die Seite, auf der du dich befunden hast, eine zufällige Sitzungs-ID und der Zeitpunkt.
• Zweck: Verbesserung von Ferlo. Die E-Mail-Adresse verwenden wir nur, um dir auf dein Feedback zu antworten.
• Freiwilligkeit: Vollständig freiwillig.
• Personenbezug: Die E-Mail-Adresse ist ein personenbezogenes Datum. Die Sitzungs-ID ist dieselbe zufällige Kennung wie bei den anonymen Ablauf-Ereignissen (Ziffer 3.5). Sie erlaubt uns, dein Feedback dem anonymen Ablauf derselben Sitzung zuzuordnen (z.B. wo du abgesprungen bist), nicht aber deiner Person. Wir verwenden sie nicht, um dich zu identifizieren.
• Empfänger: Keine Weitergabe an Dritte.
• Speicherdauer: Wir löschen Feedback spätestens nach 12 Monaten.

3.12 Speichern auf deinem Gerät und «Meine Anfragen» (optional)

Wenn du «Auf diesem Gerät speichern» einschaltest, merkt sich dein Browser Angaben für eine schnellere nächste Anfrage.

• Inhalt: Produkt, Apotheke und deine Angaben zum Anliegen. Bei Medikamentenanfragen die Anfrage-UID mit Medikament und Apotheke. Bei Medical Cannabis die Produktauswahl und das Datum, an dem ein Rezept geprüft wurde. Das Rezeptbild und der Abholcode werden nie gespeichert.
• Ort: Ausschliesslich im Speicher (localStorage) deines Browsers auf diesem Gerät. Ferlo erhält diese Liste nicht und kann sie nicht einsehen.
• Statusabfrage: Öffnest du «Meine Anfragen», wird der Status gemerkter Anfragen bei Ferlo abgefragt. Dabei wird die Anfrage-UID an Ferlo übermittelt. Sie ist nicht mit deiner Person verknüpft.
• Freiwilligkeit: Standardmässig ausgeschaltet. Schaltest du das Speichern aus oder wählst «Alles auf diesem Gerät löschen», werden die gespeicherten Daten sofort gelöscht.
• Hinweis: Wer dein entsperrtes Gerät in der Hand hat, kann diese Liste einsehen. Im privaten Modus oder nach dem Löschen der Browserdaten ist sie leer.
• Speicherdauer: Bis du sie löschst.

3.13 Technische Daten

Beim Besuch von ferlo.ch werden technische Daten erhoben (IP-Adresse, Browser-Typ, Zeitstempel). Diese werden für den Betrieb der Infrastruktur benötigt und nicht mit Anfragedaten verknüpft.

4. Drittanbieter und Datenübermittlung

Ferlo nutzt folgende Drittanbieter:

Beim Aufruf von Ferlo werden Schriften von Google Fonts (fonts.googleapis.com) und Programmbibliotheken von jsDelivr (cdn.jsdelivr.net) geladen. Dabei wird deine IP-Adresse an diese Anbieter übermittelt. Klickst du bei deiner Terminbestätigung auf «Google» oder «Route», öffnet sich der jeweilige Dienst von Google in einem neuen Tab. Dort gelten dessen Datenschutzbestimmungen.

Ferlo setzt kein Stripe (keine Zahlung über Ferlo) und kein Twilio (kein SMS-Versand) ein. Es werden keine Zahlungsdaten und keine Telefonnummern verarbeitet.

Falls du eine Zusammenfassung per E-Mail an dich selbst sendest, öffnet sich dein eigenes E-Mail-Programm (Mailto-Link). Ferlo verarbeitet dabei keine E-Mail-Adresse und sieht nicht, ob oder an wen du die Zusammenfassung verschickst.

Soweit Daten in Länder ausserhalb der Schweiz übermittelt werden, stützt sich Ferlo auf geeignete Garantien (Standardvertragsklauseln). Firebase-Daten werden bevorzugt im Rechenzentrum Zürich (europe-west6) gespeichert.

5. Datensicherheit

Ferlo trifft angemessene technische und organisatorische Massnahmen zum Schutz der Daten:

• Verschlüsselung der Datenübertragung (HTTPS).
• App Check: Nur verifizierte Ferlo-Apps können auf die Datenbank zugreifen.
• Zugriffsbeschränkungen: Jede Partnerapotheke sieht ausschliesslich ihre eigenen Anfragen. Apotheken «Ohne Abholcode» haben keinerlei Systemzugriff.
• Automatische Löschung nach 60 Tagen (Anfragedaten, interne Auswertung, Rezeptbilder) bzw. 12 Monaten (Analytics).
• Keine Speicherung von Zahlungsdaten oder Telefonnummern.

6. Rechte der betroffenen Personen

Nach revDSG hast du folgende Rechte:

• Auskunft: Du kannst Auskunft über die zu deiner Person gespeicherten Daten verlangen.
• Berichtigung: Du kannst die Berichtigung unrichtiger Daten verlangen.
• Löschung: Du kannst die Löschung deiner Daten verlangen.
• Einschränkung: Du kannst die Einschränkung der Bearbeitung verlangen.

Da die Nutzung von Ferlo grundsätzlich anonym erfolgt und keine identifizierenden Daten erhoben werden, ist eine nachträgliche Zuordnung einer Anfrage oder Zusammenfassung zu einer Person durch Ferlo nicht möglich. Das gilt bei «Ohne Abholcode»-Apotheken umso mehr, da dort noch nicht einmal ein Anfragedokument bei Ferlo verbleibt. Eine Auskunft über spezifische Anfragen ist daher technisch nicht realisierbar. Ausgenommen sind die unter Ziffer 3.6–3.8 und 3.11 beschriebenen, freiwilligen E-Mail-Angaben — hierzu ist eine Auskunft möglich.

Für Anfragen: datenschutz@ferlo.ch

7. Lokale Speicherung im Browser

Ferlo verwendet keine Tracking-Cookies und keine Werbecookies. Daten zu Partnerapotheken werden direkt in Firestore gespeichert und im Browser nur angezeigt. Im Speicher deines Browsers legt Ferlo ausschliesslich Folgendes ab:

• Nur für diesen Tab (sessionStorage, wird beim Schliessen gelöscht): eine zufällige Sitzungs-ID für die anonyme Auswertung (Ziffer 3.5) und der Merker, dass du deine Volljährigkeit bestätigt hast. Beim Wechsel zwischen Seiten von Ferlo ausserdem vorübergehend deine bereits beantworteten Fragen, damit du sie nicht nochmals beantworten musst. Sie werden nach dem Einlesen gelöscht.
• Dauerhaft bis du es löschst (localStorage): deine Einstellungen auf der Startseite (Sortierung, Geschlechtsfilter), der Zeitpunkt deiner letzten Feedback-Nachricht (Spam-Schutz) und, nur wenn du es einschaltest, die Liste «Meine Anfragen» (Ziffer 3.12).

Die Zusammenfassung für Apotheken «Ohne Abholcode» wird ausschliesslich im Browser erzeugt und angezeigt, nicht dauerhaft bei Ferlo gespeichert.

Es werden keine Daten an Werbenetzwerke übermittelt. Es gibt keine Werbung auf Ferlo.

8. Änderungen dieser Datenschutzerklärung

Ferlo behält sich das Recht vor, diese Datenschutzerklärung anzupassen — insbesondere im Zuge der Erweiterung um neue Anliegen. Die aktuelle Version ist stets auf ferlo.ch/legal/privacy_gesundheit abrufbar.

9. Kontakt und Beschwerden

Bei Fragen zum Datenschutz:
datenschutz@ferlo.ch
Ferlo AG, Kanzleistrasse 80, 8004 Zürich

Du hast das Recht, dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu beschweren.