Wie wir mit Recht umgehen.

§ 17 ApBetrO — die Anweisungsbeziehung

Botendienst nach § 17 Abs. 2 ApBetrO ist Aufgabe der Apotheke; die apothekenrechtliche Verantwortung kann nicht ausgelagert werden. Freydom strukturiert das Verhältnis so, dass diese Verantwortung bei Ihnen bleibt:

• Der Fahrer ist während des gebuchten Blocks unter Ihrer Weisung. Sie bestimmen Pickup-Zeitpunkt, Reihenfolge und Abgabe-Verfahren.
• Eine separate § 17-Sondervereinbarung regelt pro Apotheke schriftlich, wie die Anweisungsbeziehung im Einzelfall ausgestaltet ist.
• Wir versprechen keine § 17 ApBetrO-Zertifizierung — diese gibt es so nicht. Wir liefern die Konstellation, die BAK-Auslegungshilfen und Hessisches Landesamt anerkennen.

AVV nach Art. 28 DSGVO

Sie verarbeiten Empfänger-Daten (Name, Anschrift, ggf. Lieferzeitfenster) im Rahmen des Botendienstes. Wenn wir diese Daten in Ihrem Auftrag handhaben, schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO ab. Anhang 1 ist die TOM-Liste — und sie spiegelt den tatsächlichen technischen Stand, nicht aspirative Werbung:

• AES-256-GCM-Verschlüsselung im Ruhezustand für jede Übergabe-Dokumentation
• Append-only-Audit-Tabellen auf DB-Ebene (UPDATE wird vom Trigger abgelehnt)
• Hetzner-Dedicated-Hosting in Frankfurt — DE-Datenresidenz
• Logout invalidiert sofort alle Sitzungen (Token-Version-Bump)
• Magic-Link-Authentifizierung mit 30-Minuten-TTL für allgemeine Logins

Den vollständigen AVV mit Anhang 1 (TOMs) und Anhang 2 (Sub-Auftragsverarbeiter — Hetzner, Cloudflare, Resend, Stripe) übergeben wir vor Erstunterzeichnung der Rahmenvereinbarung.

GoBD-konforme Übergabe-Dokumentation

Für die Aufbewahrungspflicht nach § 257 HGB / § 147 AO ist nachvollziehbare Dokumentation jeder Übergabe erforderlich. Wir erfassen pro Lieferung:

• Foto der Sendung am Übergabeort (verschlüsselt gespeichert)
• Name der entgegennehmenden Person, vom Rider getippt
• Zeitstempel, IP des Geräts, gehashter User-Agent
• Unveränderlich auf DB-Ebene — jede Order-Status-Änderung wird in einer append-only-Event-Tabelle protokolliert

Sie erhalten monatliche Lieferreports im CSV-Format (im Block-Preis enthalten) mit allen Aufträgen, Empfangsdaten und einem Hinweis, ob Foto-Beleg vorhanden ist. Auf Anfrage stellen wir GDP-orientierte Übergabeberichte pro Lieferung aus (€5).

Festangestellte Fahrer, keine Gig-Worker

Unsere Fahrer sind fest angestellt bei der Freydom UG (haftungsbeschränkt) i. G. — als Vollzeit-Anker oder Werkstudent:innen nach § 12 TzBfG (Arbeit auf Abruf). Das hat drei praktische Konsequenzen:

• Gleicher Fahrer, gleiche Route. Ihre Stammkund:innen sehen kein wechselndes Plattform-Personal.
• Datenschutz-Verpflichtungserklärung nach § 53 BDSG ist Bestandteil des Arbeitsvertrags — auch drei Jahre über Vertragsende hinaus.
• BAG-konforme Equipment-Haftung. Verlust oder Beschädigung des Smartphones, auf dem Empfängerdaten verarbeitet werden, ist über uns versichert. Sie haften nicht für unsere Geräte.

DSFA und DSB

Für Apotheken-Botendienste, die unter Art. 9 DSGVO fallende Gesundheitsdaten umfassen, haben wir eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erstellt. Vor Aufnahme der ersten Pharma-Verarbeitung benennen wir einen Datenschutzbeauftragten.

Im Risikoregister haben wir sieben Restrisiken identifiziert — vom verlorenen Rider-Smartphone bis zum Server-Zugriff. Die DSFA zeigt die getroffenen und geplanten Maßnahmen und kommt zum Schluss, dass keine vorherige Aufsichtsbehörden-Konsultation nach Art. 36 DSGVO erforderlich ist. Das Dokument geben wir auf Anfrage an Vertragspartner weiter.