Zur Startseite

Datenschutzerklärung Forschungsportal

PRÜFEN(Legal): Gesamter Text ist ein Entwurf für forschung.isi-app.de. Freigabe durch den Datenschutzbeauftragten steht aus; erst danach dürfen echte Leads eingeladen werden.

Stand: [PRÜFEN(Legal): Datum der Freigabe]

Im Forschungsportal der isi-App kannst du dich zu Studien rund um PMS und PMDS, zu Befragungen und zu Nutzertests einladen lassen und schon vorab einen Nachweis deiner Diagnose bei deiner Praxis anfordern. Hier steht, welche Daten wir dafür verarbeiten, warum, wie lange und welche Rechte du hast. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst. Weil es um deine Gesundheit geht, behandeln wir sie besonders sorgfältig.

1. Wer ist verantwortlich?

PRÜFEN(Legal): Angaben zur verantwortlichen Stelle und zum Datenschutzbeauftragten aus der Datenschutzerklärung der isi-Webseite übernommen, bestätigen.

Verantwortlich für die Datenverarbeitung in diesem Portal ist:

Endo Health GmbHTheaterstraße 5609111 Chemnitz

Handelsregister: HRB 33447, Amtsgericht ChemnitzVertreten durch: Dr. med. Nadine RohloffTelefon: 0371 335603 00E-Mail: info@endometriose.app

Datenschutzbeauftragter:

Markus RothenhöferE-Mail: info@endometriose.app

2. Wofür verwenden wir deine Daten?

PRÜFEN(Legal): Zwecke vollständig und zutreffend beschrieben?

• Anmeldung: Du meldest dich mit deiner E-Mail-Adresse an. Wir schicken dir dafür einen Anmeldelink und einen Code. Ein Passwort gibt es nicht.
• Deine Angaben: Wir speichern sie, damit du sie nicht mehrfach eingeben musst und damit wir dich zu passender Forschung einladen können.
• Einladungen: Wenn du es auswählst, laden wir dich per E-Mail zu Studien rund um PMS und PMDS, zu Befragungen und zu Nutzertests für neue Funktionen ein. Ab und zu leiten wir dir auch Einladungen zu Studien anderer Forschungsteams weiter. Dabei geben wir deine Daten nicht an diese Teams weiter; ob du teilnimmst, entscheidest du selbst. Deine Auswahl kannst du jederzeit ändern.
• Stand deines Nachweises: Das Portal zeigt dir, wie weit deine Anfrage bei der Praxis ist, und hält fest, ob du angibst, schon eine schriftliche Diagnose oder die Bescheinigung zu haben. Die Bescheinigung selbst lädst du nicht hoch.
• Brief an deine Praxis: Wenn du es willst, erstellen wir in deinem Namen einen Brief an die von dir gewählte Praxis, mit der Bitte um eine ärztliche Bestätigung deiner Diagnose und einem vorausgefüllten Vordruck. Wir versenden ihn nach deiner Unterschrift per Post.
• Erinnerung: Wenn du uns nicht gemeldet hast, dass deine Bescheinigung da ist, fragen wir frühestens 45 Tage nach deinem letzten Brief per E-Mail nach und, falls nötig, ein letztes Mal frühestens 45 Tage nach dieser Mail. Insgesamt fragen wir höchstens zweimal nach. Über einen Knopf in der Mail kannst du uns sagen, ob die Bescheinigung da ist.
• Schutz vor Missbrauch: Wir begrenzen, wie oft Anmeldelinks angefordert und Briefe verschickt werden können, damit das Portal nicht missbraucht wird. Dazu verwenden wir einen Kurzwert (Hash) deiner IP-Adresse, aus dem sich die Adresse nicht zurückrechnen lässt.
• Überblick für das Forschungsteam: Berechtigte Mitarbeitende der Endo Health GmbH sehen in einem internen Bereich, wie viele Frauen sich angemeldet haben, ihre Angaben gemacht haben, einen Brief verschickt haben oder die Bescheinigung haben. Sie sehen dort auch deine Angaben und deine Auswahl zu den Einladungen und können sie exportieren, um dich zu passender Forschung einzuladen.

PRÜFEN(Legal): Neue Zwecke (Einladungen zu Studien, Befragungen und Nutzertests, Weiterleiten von Einladungen anderer Forschungsteams ohne Datenweitergabe, höchstens zwei Erinnerungsmails, frühestens 45 Tage nach dem letzten Brief und 45 Tage nach der ersten Erinnerung) prüfen. Im Forschungsportal werden keine Studiendaten erhoben; Daten einer Studie verarbeitet das jeweilige Studienteam nach eigener Information und Einwilligung.

3. Welche Daten verarbeiten wir?

PRÜFEN(Legal): Datenkategorien vollständig? Gesundheitsbezug der Angaben (Interesse an Forschung zu PMS/PMDS, Diagnosebestätigung) als Gesundheitsdaten einordnen.

• Einladung: deine E-Mail-Adresse, woher sie stammt (zum Beispiel Warteliste oder isi-Registrierung) und wann du dich zum ersten Mal angemeldet hast.
• Anmeldung: E-Mail-Adresse, einmaliger Code (nur als Kurzwert gespeichert, höchstens 15 Minuten gültig) und deine Sitzung. Zur Sitzung speichert die Anmeldung auch IP-Adresse und Browserkennung (User-Agent).
• Deine Angaben: Anrede, Vorname, Nachname, Geburtsdatum, Anschrift, optional Telefonnummer, dazu Zeitpunkt und Textfassung deiner Einwilligung.
• Einladungen: ob du Einladungen zu Studien rund um PMS und PMDS, zu Befragungen und Nutzertests oder zu Studien anderer Forschungsteams bekommen möchtest, wann du die Auswahl zuletzt geändert hast und in welcher Textfassung.
• Praxis: die von dir gewählte oder eingegebene Praxis mit Anschrift.
• Status: ob du angibst, schon eine schriftliche Diagnose zu haben, und ob du angibst, die Bescheinigung erhalten zu haben (mit Zeitpunkt), dazu wie viele Erinnerungen wir dir geschickt haben und wann zuletzt.
• Brief: Empfänger-Praxis, Zeitpunkt und Version deiner Einwilligung, Versandstatus, Auftragsnummer des Versanddienstes, IP-Hash. Der Brief enthält deine Angaben, deine E-Mail-Adresse, die Bitte um eine Diagnosebestätigung, weil du dich an Forschungsstudien zum prämenstruellen Syndrom (PMS) beteiligen möchtest, und deine Unterschrift.
• Nicht gespeichert: Das Brief-PDF und deine Unterschrift speichern wir nicht. Wir erzeugen sie für den Versand, übergeben sie an den Versanddienst und verwerfen sie danach. Eine Bescheinigung kannst du nicht hochladen.

4. Auf welcher Grundlage verarbeiten wir deine Daten?

PRÜFEN(Legal): Rechtsgrundlagen und Wortlaut der Einwilligung prüfen, auch die Verwendung der Leads aus Warteliste und isi-Registrierung für die Einladung. Hinweis an Markus: Der Einwilligungstext auf der Seite direkt nach dem ersten Login (Häkchen vor jeder Speicherung) braucht deine Freigabe; ohne Freigabe bleibt er ein Entwurf.

Deine Angaben, deine Auswahl zu den Einladungen, die Praxis, der Status und der Brief gehören zum Teil zu den besonderen Kategorien personenbezogener Daten (Gesundheitsdaten): Schon dass du im Forschungsportal bist, kann etwas über deine Gesundheit aussagen. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und Art. 6 Abs. 1 lit. a DSGVO.

• Einwilligung für das Portal: Du gibst sie in einem eigenen Schritt direkt nach deiner ersten Anmeldung ab, indem du das Häkchen setzt. Das geschieht, bevor wir irgendetwas von dir speichern. Ohne sie speichern wir weder deine Angaben noch deine Auswahl zu den Einladungen noch eine Praxis noch Angaben zum Stand deiner Bescheinigung. Wir speichern, wann du eingewilligt hast und in welcher Textfassung. Du kannst die Einwilligung jederzeit widerrufen: Schreib dafür an info@endometriose.app (siehe Abschnitt 10).
• Einladungen: Ob wir dich zu Studien, Befragungen und Nutzertests einladen oder Einladungen anderer Forschungsteams weiterleiten dürfen, wählst du freiwillig und für jede Art einzeln aus. Nichts ist vorausgewählt. Ohne Auswahl bekommst du keine Einladungen. Du kannst deine Auswahl jederzeit auf der Übersicht ändern. PRÜFEN(Legal): Rechtsgrundlage und Wortlaut der drei Auswahlmöglichkeiten bestätigen.
• Auftrag und Einwilligung für den Brief: Der Brief an deine Praxis ist ein eigener Schritt. Bevor du ihn absendest, erteilst du uns dort einen gesonderten Versandauftrag und eine weitere Einwilligung. Auch dafür speichern wir Zeitpunkt und Textfassung.

Für die technisch notwendige Verarbeitung (Anmeldung, Sitzung, Schutz vor Missbrauch, Sicherheit des Portals) ist die Grundlage unser berechtigtes Interesse an einem sicheren und funktionierenden Portal nach Art. 6 Abs. 1 lit. f DSGVO.

Die Angabe deiner Daten ist freiwillig. Ohne deine Angaben und deine Einwilligung können wir allerdings keinen Brief für dich erstellen.

5. Cookies und Tracking

PRÜFEN(Legal): Aussage zu Cookies und Tracking bestätigen (Stand der Umsetzung vor Go-Live prüfen).

Wir setzen nur ein Cookie, das für die Anmeldung technisch notwendig ist (Sitzungs-Cookie). Es merkt sich, dass du angemeldet bist. Die Sitzung läuft 30 Tage nach der letzten Nutzung ab. Dafür ist keine Einwilligung nötig.

Es gibt kein Tracking: keine Analyse-, Werbe- oder Social-Media-Werkzeuge, kein Google Tag Manager, kein Meta Pixel. Deshalb gibt es auch kein Cookie-Banner.

6. Dienstleister, die in unserem Auftrag arbeiten

PRÜFEN(Legal): Auftragsverarbeitungsverträge mit allen drei Dienstleistern (Vercel, Amazon Web Services, emailbrief.de) bestätigen, Anbieterangaben und Drittlandübermittlung prüfen. Der AVV mit emailbrief.de für Briefe mit Gesundheitsbezug ist noch offen.

Mit unseren Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Sie verarbeiten deine Daten nur nach unseren Weisungen.

• Vercel (Hosting): Das Portal läuft bei Vercel in der Region Frankfurt. Vercel verarbeitet dabei technische Verbindungsdaten wie deine IP-Adresse in Server-Logfiles. Anbieter ist die Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Da Vercel ein Unternehmen mit Sitz in den USA ist, lässt sich ein Zugriff aus einem Drittland nicht vollständig ausschließen. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: https://vercel.com/legal/privacy-policy.
• Amazon Web Services (Datenbank und E-Mail): Deine Daten liegen in einer Datenbank bei Amazon Web Services im Rechenzentrum Frankfurt (Region eu-central-1). Den Anmeldelink verschicken wir über Amazon Simple Email Service (Amazon SES), ebenfalls in Frankfurt; der Dienst erhält dafür deine E-Mail-Adresse und den Inhalt der Anmelde- und Erinnerungsmails. Klicks und Öffnungen der Mail werden nicht ausgewertet. Anbieter und Vertragspartner: [PRÜFEN(Legal): Angaben zum Anbieter ergänzen, Speicherdauer der Versandprotokolle bei Amazon SES bestätigen].
• emailbrief.de (Briefversand): Den Brief an deine Praxis lassen wir über emailbrief.de drucken und per Post versenden. Der Dienst erhält dafür das Brief-PDF mit deinen Angaben und deiner Unterschrift sowie die Anschrift der Praxis. Anbieter: [PRÜFEN(Legal): Anbieter von emailbrief.de mit Anschrift ergänzen]. Speicherdauer dort: [PRÜFEN(Legal): ergänzen].

7. Wer bekommt deine Daten noch?

PRÜFEN(Legal): Empfänger vollständig?

• Deine Praxis: Sie erhält den Brief mit deinen Angaben (Name, Geburtsdatum, Anschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, Unterschrift) und dem Vordruck. Ab dort verantwortet die Praxis den Umgang mit dem Brief selbst.
• Forschungsteam: Berechtigte Mitarbeitende der Endo Health GmbH, die für Forschung und das Portal zuständig sind, können deine Daten im internen Bereich einsehen.
• Andere Forschungsteams: Sie bekommen keine Daten von dir. Wir leiten dir nur ihre Einladung weiter, wenn du das ausgewählt hast.
• Eine Weitergabe zu Werbezwecken findet nicht statt.

8. Wie lange speichern wir deine Daten?

PRÜFEN(Legal): Speicherfristen festlegen. Löschfrist der Angaben im Forschungsportal ist noch nicht entschieden (Markus).

• Deine Angaben, Auswahl zu den Einladungen, Praxis, Status, Erinnerungen, Brief-Protokoll und Einladung: solange du das Forschungsportal nutzt, spätestens [PRÜFEN(Legal): Datum oder Frist ergänzen]. Danach löschen wir sie.
• IP-Hash zum Brief: höchstens 30 Tage, danach ersetzen wir ihn.
• Zähler für die Begrenzung von Anmeldungen: höchstens 30 Tage.
• Anmeldecodes: werden nach Ablauf (15 Minuten) gelöscht.
• Sitzungen mit IP-Adresse und Browserkennung: Eine Sitzung läuft 30 Tage nach der letzten Nutzung ab; abgelaufene Sitzungen löschen wir.
• Server-Logfiles bei Vercel: [PRÜFEN(Legal): Frist bestätigen, in der isi-Datenschutzerklärung sind es höchstens 30 Tage].
• Sofort löschen wir deine Daten auf Wunsch, sofern keine gesetzliche Pflicht entgegensteht (siehe Abschnitt 9).

9. Welche Rechte hast du?

PRÜFEN(Legal): Rechte und Kontaktweg bestätigen.

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten, ihre Herkunft, Empfänger und Zwecke (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Übertragbarkeit der Daten, die du uns auf Grundlage deiner Einwilligung gegeben hast (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO).

Schreib uns dafür an info@endometriose.app. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

10. Einwilligung widerrufen

PRÜFEN(Legal): Widerrufsweg und Folgen bestätigen.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne Angabe von Gründen und ohne Nachteil. Schreib dafür an info@endometriose.app. Wir löschen dann deine Angaben und schicken dir keine Einladungen und Erinnerungen mehr. Was bis zum Widerruf geschehen ist, bleibt rechtmäßig. Ein Brief, der schon bei der Post ist, lässt sich nicht zurückholen.

11. Beschwerde bei der Aufsichtsbehörde

PRÜFEN(Legal): Zuständige Aufsichtsbehörde bestätigen (aus der isi-Datenschutzerklärung übernommen).

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Für uns zuständig ist:

Sächsische Datenschutz- und TransparenzbeauftragtePostfach 11 01 3201330 Dresden

E-Mail: post@sdtb.sachsen.deTelefon: +49 351 85471-101Website: https://www.datenschutz.sachsen.de/

12. Sicherheit und Änderungen

PRÜFEN(Legal): Sicherheitsaussagen mit der Informationssicherheit abgleichen.

Das Portal überträgt Daten verschlüsselt (TLS). Die Datenbank liegt in der EU. Zugriff auf die Daten haben nur Berechtigte.

Wir passen diese Erklärung an, wenn sich das Portal ändert, zum Beispiel wenn weitere Dienste dazukommen. Die jeweils gültige Fassung findest du hier.