Datenschutzerklärung

1. Anwendungsbereich

Diese Datenschutzerklärung klärt Sie über die Verarbeitung personenbezogener Daten auf der Internetpräsenz www.caspar-health.com (im Folgenden „Website“) sowie auf der Caspar-Health Plattform ( im Folgenden “Plattform”) auf. Die Plattform kann sowohl mittels der installierten Caspar-Health App genutzt werden als auch direkt über den Webbrowser. Auf der Plattform wird das Therapieportal (im Folgenden “CASPAR”) betrieben.

2. Verantwortlicher

Die GOREHA GmbH, Neue Schönhauser Str. 20, 10178 Berlin (im Folgenden „wir“ oder „uns“) ist Verantwortlicher gem. Art. 4 Abs. 7 Datenschutz-Grundverordnung (DS-GVO) für sämtliche personenbezogenen Daten, die auf der Plattform erhoben werden, es sei denn, diese Datenschutzerklärung enthält abweichende Angaben.

3. Personenbezogenen Daten

Personenbezogene Daten im Sinne von Art. 4 Nr. 1 DS-GVO sind alle Daten, die auf Sie persönlich beziehbar sind, z. B. Name, Adresse, E-Mail-Adressen, Nutzerverhalten. Zu besonderen Kategorien personenbezogener Daten gehören z.B. Daten, die sich auf Ihre körperliche Gesundheit beziehen, sogenannte Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DS-GVO.

4. Verarbeitung beim Besuch der Website

Unsere Website verwendet ausschließlich technisch notwendige Cookies.

Beim Besuch unserer Website wird die IP-Adresse des Nutzers verarbeitet, da dies technisch erforderlich ist, um Ihnen unsere Website anzeigen zu können und die Stabilität und Sicherheit dieser gewährleisten zu können. Darüber hinaus werden Datenprotokolle binnen 24 Stunden gelöscht.

Verarbeitet werden:

• Die IP-Adresse des Nutzer
• Name der abgerufenen Plattform bzw. Datei
• Datum und Uhrzeit des Zugriffs
• übertragene Datenmenge
• Meldung über erfolgreichen Abruf
• Browser-Typ und Version
• Betriebssystem des Nutzers
• verwendetes Endgerät des Nutzers, inklusive MAC-Adresse
• Referrer-URL (die zuvor besuchte Seite)
• Betriebssystem und dessen Oberfläche
• Sprache und Version der Browsersoftware

Diese Daten werden nicht mit anderen personenbezogenen Daten, die Sie aktiv im Rahmen der Website angeben, zusammengeführt.

Die Server-Logfiles mit den oben genannten Daten werden automatisch nach 24 Stunden, in Ausnahmefällen nach sieben Tagen gelöscht. Wir behalten uns vor, die Server-Logfiles länger zu speichern, wenn Tatsachen vorliegen, welche die Annahme eines unzulässigen Zugriffs (wie etwa der Versuch eines Hackings oder einer sogenannten DOS-Attacke) nahelegen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f) DS-GVO. Das berechtigte Interesse besteht in der Bereitstellung der Website und deren ordnungsgemäßem Betrieb. 

5. Was ist eine IP-­Adresse?

Jedem Gerät (z.B. Smartphone, Tablet, PC), das mit dem Internet verbunden ist, wird eine IP-Adresse zugewiesen. Welche IP-Adresse dies ist, hängt davon ab, über welchen Internetzugang Ihr Endgerät aktuell mit dem Internet verbunden ist. Es kann sich dabei um die IP-Adresse handeln, die Ihnen Ihr Internetprovider zugeteilt hat, etwa wenn Sie zu Hause über Ihr W-LAN mit dem Internet verbunden sind. Es kann sich aber auch um eine IP-Adresse handeln, die Ihnen Ihr Mobilfunkprovider zugeteilt hat oder um die IP-Adresse eines Anbieters eines öffentlichen oder privaten W-LANs oder anderen Internetzugangs. In ihrer derzeit geläufigsten Form (IPv4) besteht die IP-Adresse aus vier durch Punkte getrennte Zifferblöcken. Zumeist werden Sie als privater Nutzer keine gleichbleibende IP-Adresse benutzen, da Ihnen diese von Ihrem Provider nur vorübergehend zugewiesen wird (so genannte „dynamische IP-Adresse“). Bei einer dauerhaft zugeordneten IP-Adresse (so genannte „statische IP-Adresse“) ist eine eindeutige Zuordnung der Nutzerdaten über dieses Merkmal im Prinzip möglich. Außer zum Zwecke der Verfolgung unzulässiger Zugriffe auf unser Internetangebot verwenden wir diese Daten grundsätzlich nicht personenbezogen, sondern werten lediglich auf anonymisierter Basis aus, welche unserer Webseiten favorisiert werden, wie viele Zugriffe täglich erfolgen und ähnliches.

6. Kontaktformular der Website

Sie haben die Möglichkeit, sich mit uns über unser Kontaktformular in Verbindung zu setzen. Zur Nutzung unseres Kontaktformulars benötigen wir von Ihnen zunächst die als Pflichtfelder markierten Daten. Diese Daten verwenden wir auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f DS-GVO, um Ihre Anfrage zu beantworten. Darüber hinaus können Sie selbst entscheiden, ob Sie uns weitere Angaben mitteilen möchten. Diese Angaben erfolgen freiwillig und sind für die Kontaktaufnahme nicht zwingend erforderlich. Ihre freiwilligen Angaben verarbeiten wir auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO.

Ihre Daten werden nur zur Beantwortung Ihrer Anfrage verarbeitet. Wir löschen Ihre Daten, sofern diese nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.  

7. Newsletter

Bestandskunden und Interessenten, die Ihr Interesse an CASPAR bekundet haben, informieren wir durch unseren Email-Newsletter über Weiterentwicklungen und neue Produkte sowie Angebote.  Der Verwendung Ihrer E-Mail-Adresse zum Versand des Newsletters können Sie jederzeit über einen Link im jeweiligen Newsletter widersprechen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f) DS-GVO. Das berechtigte Interesse folgt aus der Information der Kunden und Interessenten.

8. Nutzung des Therapieportals CASPAR

Medizinische Einrichtungen und Patienten können zur Nutzung des Therapieportals CASPAR Accounts einrichten. Im Rahmen der Erstellung eines Benutzerkontos für unsere Plattform werden Sie aufgefordert, eine Reihe an personenbezogenen Daten einzugeben (insbesondere Anrede, Vorname, Name, Straße, Postleitzahl, Stadt, Aufenthaltsland, Telefon, E-Mail-Adresse und möglicherweise weitere Daten, die wir im Rahmen der Anmeldung erfragen). Verpflichtend ist jedoch nur die Angabe des Aufenthaltslands. Sie können die Daten stets unter der Rubrik „Patienten-Account“ einsehen und ändern. Sofern Sie eine E-Mail Adresse angegeben haben, erhalten Sie in regelmäßigen Abständen eine Übersicht über Ihre aktuellen Aktivitäten im Rahmen der Therapie. Hiervon können Sie sich jederzeit mittels Unsubscribe-Link abmelden. Wir erheben, speichern und verarbeiten Ihre, in diesem Abschnitt genannten, Daten für die gesamte Abwicklung Ihrer Nutzung von CASPAR, einschließlich eventuell späterer Gewährleistungen. Die Einzelheiten hierzu sind in den jeweiligen Verträgen und AGB geregelt, die mit den betreffenden Personen geschlossen werden. Bei der Nutzung von CASPAR werden personenbezogene Gesundheitsdaten über Patienten ausschließlich nach deren vorheriger Einwilligung verarbeitet. Diese Daten werden von der medizinischen Einrichtung oder von den Patienten selbst in CASPAR übertragen. Ein Austausch der Daten erfolgt nur zwischen den Patienten und der betreuenden medizinischen Einrichtung sowie den dort beschäftigten Ärzten. Sie werden nicht an Dritte weitergegeben.  Die Daten werden gespeichert, solange sie zur Nutzung von CASPAR erforderlich sind. Anschließend werden die Daten gelöscht, sofern keine anderslautenden gesetzlichen Rechte oder Pflichten bestehen. Von einer andauernden Nutzung von CASPAR wird bis zum Ende der jeweiligen Vertragslaufzeit ausgegangen. Rechtsgrundlage für die Verarbeitung ist eine Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a) DS-GVO i.V.m. Art. 9 Abs. 2 lit. a) DS-GVO.  Die Einwilligungserklärungen können im jeweiligen Account unter der Rubrik “Rechtliches” jederzeit abgerufen werden. Personenbezogene Daten der Therapeuten und nicht-gesundheitsbezogene Daten der Patienten werden zum Zweck der Vertragsdurchführung auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DS-GVO verarbeitet.

Die personenbezogenen Daten werden ausschließlich auf Servern in Deutschland gespeichert und verarbeitet. Alle Ärzte und Therapeuten unterstehen der beruflichen Schweigepflicht. Wir verpflichten unsere Mitarbeiter auf Vertraulichkeit im Sinne der DS-GVO. Datenübermittlungen werden durch Verschlüsselungen nach dem anerkannten Stand der Technik gegen den Zugriff durch Dritte geschützt.

9. Webinare, Umfragen

Während der Nutzung des Therapieportals CASPAR besteht die Möglichkeit, an Webinaren teilzunehmen. Diese werden synchron zum Therapieangebot der Nachsorge angeboten und stellen eine Live-Erweiterung im Bereich "Wissen und Wohlbefinden" dar. Hierüber werden Sie via E-Mail informiert. Die Teilnahme ist freiwillig und keine Voraussetzung für die Nutzung von CASPAR oder für einen erfolgreichen Therapieabschluss. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 S. 1 lit. b) and lit. f) DS-GVO. Jede E-Mail enthält einen Unsubscribe-Link, mittels dem Sie jederzeit einer weiteren Zusendung von Informationen widersprechen können.

Es besteht die Möglichkeit, während der Nutzung von CASPAR an Umfragen zur Verbesserung der Therapie sowie des Therapieportals selbst teilzunehmen. Die Teilnahme ist freiwillig und keine Voraussetzung für die Nutzung von CASPAR oder für einen erfolgreichen Therapieabschluss. Ein Großteil dieser Umfragen erfolgt anonym, so dass keine personenbezogenen Daten verarbeitet werden. Sofern eine Befragung mittels pseudonymisierten Daten erfolgt, ist Rechtsgrundlage hierfür Art. 6 Abs. 1 S. 1 lit. a) DS-GVO bzw. Art. 9 Abs. 2 lit. a) DS-GVO.

10. Datenübertragbarkeit Art. 20 DS-GVO

Wir ermöglichen Patienten die Anbindung und den Import Ihrer Aktivitäts- und Gesundheitsdaten aus unterschiedlichen Quellen (wie Mobiltelefonen, Smartwatches, Fitnesstrackern und anderen digitalen Gesundheitsservices wie z.B. Apple Health Kit oder Google Fit). Indem Sie Ihr Konto eines anderen Anbieters mit CASPAR verbinden, beauftragen Sie uns explizit damit, Ihre Daten von diesem Anbieter zu Ihrem CASPAR Account zu transferieren (rechtliche Grundlage für diesen Anspruch ist Art. 20 Abs. 1 DS-GVO). Die Erfassung dieser Informationen ist freiwillig und für die Nutzung von CASPAR nicht erforderlich. CASPAR überträgt keine Daten an diese Anbieter.

11. Einsatz von Tracking- und Analysetools

Im Rahmen von CASPAR  nutzen wir Angaben zu Ihrem Smartphone. Diese umfassen insbesondere die Leistungsüberwachung (Performance Monitoring) sowie Fehlerprotokolle. Daten Ihres Endgeräts benötigen wir auch zur Messung der Funktionsfähigkeit der App. Damit können wir Fehler- und Absturzberichte über die App zeitnah erfassen und so notwendige Maßnahmen zur Funktionsfähigkeit der App ergreifen (Crashlytics). Hierbei werden Angaben zu Ihrem Smartphone und zum Betriebssystem z.B. Ihre App Build-Nummer, App-Version, Gerätehersteller und Gerätemodell übermittelt. Ihre Daten werden gespeichert, bis sie für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind. Monitoring-Daten werden spätestens nach 180 Tagen gelöscht.  Rechtsgrundlage für die Erfassung und Verarbeitung ist Ihre Einwilligung gemäß Art. 6 Abs. 1 S. 1 lit. a) DS-GVO. Diese können Sie jederzeit mit Wirkung für die Zukunft widerrufen (siehe Ziffer 15).

Ein weiteres Monitoringsystem benachrichtigt unser Entwicklungsteam über mögliche Fehler in der Applikation. Hierzu werden Log Daten übertragen. Sofern an den so übermittelten Informationen auch personenbezogene Daten teilhaben, erfolgt die Verarbeitung gemäß Art. 6 Abs. 1 lit. f) DS-GVO aufgrund unseres berechtigten Interesses an einer effizienten Fehlerursachenanalyse zur Verbesserung der Zuverlässigkeit und Funktionalität unseres Internetauftritts. Für den Fall, dass an den übermittelten Informationen auch sensible personenbezogene Daten teilhaben, erfolgt die Übermittlung auf Grundlage von Art. 9 Abs. 2 lit a) DS-GVO in Form von pseudonymisierten Metadaten.

12. Einsatz von Auftragsverarbeitern

Im Rahmen von CASPAR bieten wir eine Kommunikationslösung für die Bereitstellung von Ende-zu-Ende-Kommunikation Video, mobile Anwendungen und Kollaborationstools an. Das beinhaltet auch verschiedene Analysemöglichkeiten. Für den Fall, dass sensible personenbezogene Daten betroffen sind, erfolgt eine Übermittlung in die USA in Form von pseudonymisierten Metadaten auf Grundlage von Art. 9 Abs. 2 lit. a) DS-GVO. 

Beim Hosting unserer Plattform setzen wir auf einen externen, zertifizierten Hostinganbieter mit Rechenzentren in Deutschland, Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. a) DS-GVO.

Wir verarbeiten Ihre Daten zur Durchführung von Patientenbefragungen. Ein Großteil dieser Befragungen erfolgt anonym, so dass keine personenbezogenen Daten verarbeitet werden. Sofern eine Befragung mittels pseudonymisierter Daten erfolgt, ist Rechtsgrundlage hierfür Art. 6 Abs. 1 lit. a) bzw. Art. 9 Abs. 2 lit. a) DS-GVO. Die Teilnahme an den Umfragen ist freiwillig, es besteht keinerlei Verpflichtung und eine Teilnahme ist nicht Voraussetzung für einen erfolgreichen Therapieabschluss.

Auf Anfrage erhalten Sie eine ausführliche Liste unserer derzeit eingesetzten Auftragsverarbeiter unter datenschutz@goreha.com

13. Datenverarbeitung in den USA

Wir setzen derzeit noch vereinzelt Dienstleister (Auftragsverarbeiter) ein, die einen Sitz oder Subunternehmer in den USA haben und können dabei nicht ausschließen, dass auf Ihre pseudonymisierten (Meta)Daten aus den USA zugegriffen wird. Wir haben bisher keinerlei Erkenntnis, dass die Behörden aus den USA tatsächlich Zugriff haben. Nach der Rechtsprechung des EuGHs (Urteil vom 16.07.2020, Az.: C-311/18 („Schrems II“)) besteht in den USA kein angemessenes Datenschutzniveau. Daher  verwenden wir mit unseren Auftragsverarbeitern, die ihren Sitz in den USA haben bzw. deren Muttergesellschaften ihren Hauptsitz in den USA haben, neue Standardvertragsklauseln (“SCC”) und führen vor der Übermittlung eine obligatorische Risikoeinschätzung für die Übermittlung durch. Ferner kann es in den USA zu staatlichen Überwachungsmaßnahmen kommen. Hiergegen stehen auch den EU-Bürgern individuelle Rechtsbehelfe für Verstöße gegen FISA-Abschnitt 702 zur Verfügung. Sofern dies jedoch als nicht hinreichender Rechtsschutz angesehen wird , stützt sich die Datenverarbeitung in den USA im Zusammenhang mit der Nutzung von CASPAR auf eine Einwilligung i.S.d. Art. 49 Abs. 1 lit. a) DS-GVO. Diese Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden unter datenschutz@goreha.com

14. Push-Nachrichten

Wir bieten Ihnen die Möglichkeit, Push-Nachrichten oder sogenannte In-App-Messages auf Ihr Endgerät zu übermitteln. Wenn Sie unsere App über ein Push-fähiges Endgerät nutzen, können Sie in den Empfang von „Push-Benachrichtigen“ einwilligen. Dabei wird Ihrem Endgerät eine pseudonymisierte Device Token ID zugeteilt, eine aus der Geräte-ID erzeugte, eindeutige Verbindungsnummer, mittels derer wir die Push-Nachrichten bzw. In-App-Messages an Sie adressieren können. Die Verarbeitung möglicher personenbezogener Daten erfolgt gemäß Art. 6 Abs. 1 lit. a) DS-GVO. Die Einwilligung in die Benachrichtigung durch Push-Nachrichten können Sie jederzeit in den Einstellungen in der App ändern.

15. Verwendung von Daten zu Forschungszwecken

Sie haben die Möglichkeit, Ihre Daten (in pseudonymisierter Form) für die medizinische Forschung zur Verfügung zu stellen auf Basis von Art. 9 Abs. 2 lit. a) DS-GVO. Medizinische Forschung dient ausschließlich dazu, die Erkennung, Behandlung und Vorbeugung von Krankheiten zu verbessern. Ihre Daten würden im Sinne eines breiten Nutzens für die Allgemeinheit für viele verschiedene Forschungszwecke verwendet werden. Zum jetzigen Zeitpunkt können noch nicht alle zukünftigen medizinischen Forschungsinhalte beschrieben werden. Es kann also sein, dass Ihre Daten für Forschungsfragen verwendet werden, die heute noch nicht absehbar sind. Dazu sollen Ihre Patientendaten 10 Jahre ab dem Zeitpunkt Ihrer Einwilligung gespeichert werden.

Ihre Patientendaten können von Universitäten, Forschungsinstituten und forschenden Unternehmen auf Antrag für medizinische Forschungszwecke zur Verfügung gestellt werden. Ihre Daten dürfen vom Empfänger nur zu dem vorbestimmten und beantragten Forschungszweck genutzt und nicht zu anderen Zwecken weitergegeben werden. Um Ihre Daten bestmöglich zu schützen, werden die Daten ausschließlich derartig pseudonymisiert weitergegeben, dass die Daten Ihrer Person nicht mehr oder nur mit unverhältnismäßig großem Aufwand durch den Empfänger zugeordnet werden können. Wir machen Sie darauf aufmerksam, dass bei jeder Erhebung, Speicherung und Übermittlung von Daten im Rahmen von Forschungsprojekten mit Patientendaten durch das Hinzuziehen weiterer Informationen, z.B. aus dem Internet oder sozialen Netzwerken, das Restrisiko einer Rückverfolgbarkeit zu Ihrer Person besteht. Das ist insbesondere dann der Fall, wenn Sie genetische oder andere Gesundheitsdaten im Internet veröffentlichen, z.B. zur Ahnenforschung.

Ihre Einwilligung in die Weitergabe Ihrer Daten zu Forschungszwecken ist freiwillig. Sie können die Einwilligung zur wissenschaftlichen Nutzung Ihrer Daten jederzeit ohne Angabe von Gründen und ohne nachteilige Folgen vollständig oder in Teilen widerrufen, indem Sie eine Nachricht an datenschutz@goreha.com senden.

16. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft,
• Recht auf Berichtigung oder Löschung,
• Recht auf Widerruf erteilter Einwilligungen
• Recht auf Einschränkung der Verarbeitung,
• Recht auf Widerspruch gegen die Verarbeitung,
• Recht auf Datenübertragbarkeit.

Ein Widerruf einer Einwilligungserklärung beeinflusst die Zulässigkeit der Verarbeitung Ihrer personenbezogenen Daten, nachdem Sie ihn gegenüber uns ausgesprochen haben. Eine Nutzung der entsprechenden Dienste ist dann nicht mehr möglich. Wenn Sie Ihre vorgenannten Rechte wahrnehmen wollen, können Sie sich jederzeit hierzu an datenschutz@goreha.com wenden. Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren.

17. Dauer der Aufbewahrung von Daten

Ergänzend zu den übrigen Klauseln dieser Datenschutzerklärung gilt das Folgende:

Wir speichern personenbezogene Daten nur so lange, wie es zur Erfüllung der jeweiligen Zwecke, zu denen die Daten erhoben wurden,  erforderlich ist. Eine Weiterverarbeitung kann im Einzelfall erfolgen, wenn dies rechtlich, beispielsweise zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, zulässig ist oder eine Pflicht zur Aufbewahrung besteht.

18. Verschlüsselte Datenübertragung

Ihre personenbezogenen Daten werden in verschlüsselter Form übertragen, um einem Missbrauch durch Dritte entgegenzuwirken, wobei wir hierfür eine Verschlüsselung nach dem anerkannten Stand der Technik (Datenübertragung über Transport Layer Security 1.2.) verwenden. Es handelt sich dabei um eine gängige Sicherheitstechnologie, die Ihre persönlichen Daten, inkl. der Login-Daten und Ihrer sensiblen personenbezogenen Daten während des Transports verschlüsselt. Bitte beachten Sie, dass bei einem Datentransfer über das Internet keine hundertprozentige Sicherheit garantiert werden kann.

19. Onlinepräsenz

Wir unterhalten Onlinepräsenzen innerhalb sozialer Netzwerke und Plattformen, um mit den dort aktiven Kunden, Interessenten und Nutzern kommunizieren und sie dort über unsere Leistungen informieren zu können. Beim Aufruf der jeweiligen Netzwerke und Plattformen gelten die Geschäftsbedingungen und die Datenverarbeitungsrichtlinien der jeweiligen Betreiber. Soweit nicht anders im Rahmen unserer Datenschutzerklärung angegeben, verarbeiten wir die Daten der Nutzer sofern diese mit uns innerhalb der sozialen Netzwerke und Plattformen kommunizieren, uns z.B. Nachrichten zusenden. Von uns genutzte soziale Netzwerke / Plattformen: Instagram, LinkedIn, Facebook.

Verantwortlicher für die Datenverarbeitung bei Instagram und Facebook ist die Meta Platforms Ireland Limited. Verantwortlicher für die Datenverarbeitung bei LinkedIn ist, sofern Nutzer ihren Sitz in der EU oder dem EWR haben, LinkedIn Ireland, ansonsten LinkedIn Corporation (USA).

20. Fragen an den Datenschutzbeauftragten

Wenn Sie Fragen zum Datenschutz haben, schreiben Sie uns bitte eine E-Mail oder wenden Sie sich direkt an unseren Datenschutzbeauftragten.

Kontaktdaten:
datenschutz@goreha.com