Datenschutzerklärung (Patient-Journey)

Datenschutzerklärung für die Systeme pat.journey und kult.journey

Die interaktiven Systeme pat.journey und kult.journey (nachfolgend einheitlich „das System") sind digitale Hilfswerkzeuge, die von der N3MO GmbH, Hermann-Ivers-Str. 6, 24340 Eckernförde (nachfolgend „Dienstanbieter" oder „wir") entwickelt und bereitgestellt werden. Diese Datenschutzerklärung informiert Sie über die Verarbeitung Ihrer personenbezogenen Daten beim Laden und Nutzen des Systems.

1. Verantwortliche Stelle

Verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO ist:

N3MO GmbH, Hermann-Ivers-Str. 6, 24340 Eckernförde, E-Mail: info@n3mo.de

Soweit das System im Auftrag einer dritten Stelle (etwa einer Arztpraxis, Klinik oder Kultureinrichtung, nachfolgend „auftraggebende Stelle") eingesetzt wird, erfolgt die Verarbeitung der von Ihnen eingegebenen Inhalte zusätzlich auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO mit dieser Stelle.

2. Erhebung von Verbindungsdaten (Server-Logfiles)

Beim Aufruf der Anwendung übermittelt Ihr Browser automatisch technische Verbindungsdaten an unsere Server. Diese Daten sind erforderlich, um Ihnen das System anzuzeigen und die Stabilität sowie Sicherheit der Anwendung zu gewährleisten. Folgende Daten werden in Server-Logfiles verarbeitet:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem und Gerätetyp
• Referrer-URL (die Adresse, von der Sie zu der Anwendung gelangt sind)
• Datum und Uhrzeit der Serveranfrage
• IP-Adresse des zugreifenden Endgeräts

Rechtsgrundlage für die temporäre Speicherung ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO an der fehlerfreien technischen Bereitstellung sowie der Abwehr von Cyberangriffen. Die Server-Logfiles werden nach maximal 7 Tagen automatisch gelöscht.

3. Verarbeitung Ihrer Antworten im Fragebogen

Das System führt Sie durch einen mehrstufigen Fragebogen. Die Beantwortung erfolgt freiwillig; ohne aktive Eingaben Ihrerseits werden keine inhaltlichen Daten verarbeitet.

Zweck der Verarbeitung. Das System dient der auftraggebenden Stelle dazu, Personen mit konkretem Beratungs- oder Behandlungsbedarf frühzeitig zu identifizieren und ihnen eine auf ihre Antworten zugeschnittene Auswertung sowie eine anschließende Kontaktaufnahme durch die Stelle anzubieten. Ihre Antworten und Kontaktdaten werden zur Erstellung dieser persönlichen Auswertung sowie zur Übermittlung an die auftraggebende Stelle verarbeitet, die Sie nach Erhalt zur Beantwortung Ihrer Anfrage und zur Vorbereitung eines möglichen Behandlungs- bzw. Beratungsverhältnisses kontaktiert.

Die im Rahmen des Fragebogens erhobenen Inhalte können Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO umfassen (besondere Kategorien personenbezogener Daten). Verarbeitet werden:

• Ihre Antworten auf die Fragen des konfigurierten Fragebogens
• Eine pseudonyme Sitzungskennung, die Ihre Antworten innerhalb der Sitzung zusammenhält

Während des Fragebogens werden Ihre Antworten zunächst pseudonym in unserer Datenbank zwischengespeichert, damit Ihr Fortschritt nicht verloren geht. Eine Weiterverarbeitung (insbesondere die Erstellung einer Auswertung und die Übermittlung an die auftraggebende Stelle) erfolgt erst, nachdem Sie am Ende des Fragebogens Ihre ausdrückliche Einwilligung erteilt haben (siehe Ziffer 4). Erteilen Sie keine Einwilligung oder brechen Sie die Sitzung ab, werden Ihre pseudonymen Antworten automatisch nach maximal 7 Tagen rückstandsfrei gelöscht.

Rechtsgrundlage für die Verarbeitung Ihrer Antworten — einschließlich der vorübergehenden Zwischenspeicherung während des Fragebogens — ist Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO, die Sie am Ende des Fragebogens erteilen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

4. Optionale Angabe Ihrer Kontaktdaten und Einwilligung

Am Ende des Fragebogens können Sie optional Ihren Vornamen, Nachnamen und Ihre E-Mail-Adresse angeben, um eine persönliche Auswertung Ihrer Antworten zu erhalten. Die Angabe ist freiwillig; ohne sie findet kein E-Mail-Versand statt, und Ihre zuvor erfassten Antworten werden gemäß Ziffer 3 gelöscht.

Vor der Übermittlung Ihrer Kontaktdaten erteilen Sie über eine aktiv zu setzende Checkbox Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO. Diese Einwilligung umfasst:

• die Speicherung der von Ihnen im Fragebogen abgegebenen Antworten zur Bearbeitung Ihrer Anfrage — einschließlich gegebenenfalls darin enthaltener Gesundheitsdaten,
• die Verknüpfung dieser Antworten mit Ihren Kontaktdaten zur Erstellung einer persönlichen Auswertung,
• den Versand der unter Ziffer 5 beschriebenen E-Mails an Sie und an die jeweilige auftraggebende Stelle.

Nach Eingabe Ihrer E-Mail-Adresse senden wir Ihnen eine Bestätigungs-Nachricht im Wege eines Double-Opt-In-Verfahrens. Erst nach Klick auf den darin enthaltenen Bestätigungslink werden die weiteren E-Mails (siehe Ziffer 5) ausgelöst. Der Bestätigungslink ist zeitlich begrenzt gültig.

Ihre Klartext-Angaben (Vorname, Nachname, E-Mail-Adresse) werden in unserer Datenbank anwendungsseitig verschlüsselt gespeichert (vgl. Art. 32 DSGVO).

5. E-Mail-Versand nach Verifizierung

Nach erfolgreicher Bestätigung Ihrer E-Mail-Adresse versenden wir zwei E-Mails:

• einen „Vision-Brief" an Sie mit einer auf Ihren Antworten basierenden Auswertung,
• einen Report an die auftraggebende Stelle, in deren Auftrag das System eingebunden ist, mit einer Zusammenfassung Ihrer Antworten und Ihren Kontaktdaten.

Mit Erteilung Ihrer Einwilligung in Ziffer 3 und 4 willigen Sie ausdrücklich in diese Übermittlung Ihrer Antworten und Kontaktdaten an die jeweilige auftraggebende Stelle ein. Diese verarbeitet Ihre Daten ab dem Zeitpunkt des Empfangs in eigener datenschutzrechtlicher Verantwortung; für die weitere Verarbeitung gilt deren eigene Datenschutzerklärung.

Der technische Versand der E-Mails erfolgt über den SMTP-Dienst der DomainFactory GmbH, c/o WeWork, Neuturmstrasse 5, 80331 München. Mit der DomainFactory GmbH besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO, soweit Gesundheitsdaten übermittelt werden.

6. KI-Freiheit der Nutzerverarbeitung

Ihre im Fragebogen getätigten Eingaben werden nicht durch künstliche Intelligenz (KI) ausgewertet. Es kommen weder Large Language Models (LLMs) noch andere Verfahren des maschinellen Lernens zum Einsatz, um Ihre Antworten zu interpretieren, zu bewerten oder zu klassifizieren. Eine Übermittlung Ihrer Eingaben an externe KI-Anbieter findet nicht statt.

Hinweis: Im Rahmen der vorgelagerten Konfiguration eines Fragebogens durch die jeweilige auftraggebende Stelle nutzt N3MO ein LLM, um anhand der öffentlich zugänglichen Website der Stelle einen geeigneten Fragebogen zu erstellen. In diesem Erstellungsprozess werden keine Nutzerdaten verarbeitet.

7. Lokale Speicherung im Browser (TDDDG)

Wir setzen keine einwilligungspflichtigen Tracking-, Marketing- oder Analyse-Cookies ein. Zur Aufrechterhaltung Ihres Sitzungszustands (z. B. dem aktuellen Schritt des Fragebogens) speichern wir technische Zustandsdaten im lokalen Speicher Ihres Browsers (LocalStorage/SessionStorage). Diese Daten werden beim Schließen Ihres Browserfensters oder Browsers gelöscht. Die Speicherung ist für die Bereitstellung des von Ihnen ausdrücklich aufgerufenen Dienstes unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG und daher einwilligungsfrei.

8. Hosting und Datenbank

Die Anwendung wird auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen betrieben. Das Rechenzentrum befindet sich in Deutschland.

Ihre Eingaben werden in einer Datenbank gespeichert, die durch die Supabase Inc. in einem Rechenzentrum in Frankfurt am Main (EU, Region eu-central-1) betrieben wird. Personenbezogene Klartextfelder (Vorname, Nachname, E-Mail-Adresse) werden zusätzlich anwendungsseitig verschlüsselt abgelegt.

Mit Hetzner Online und mit Supabase bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Soweit im Rahmen des Betriebs von Supabase punktuell eine Datenübermittlung in Drittländer (insbesondere USA) nicht ausgeschlossen werden kann, ist diese durch Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert.

9. Unterauftragsverarbeiter im Überblick

10. Speicherdauer

• Server-Logfiles: maximal 7 Tage.
• Sitzungsdaten im Browser: bis zum Schließen des Browserfensters.
• Pseudonyme Antworten ohne anschließende Einwilligung am Ende des Fragebogens: automatische Anonymisierung nach maximal 7 Tagen; nach der Anonymisierung verbleiben in unserem System ausschließlich Daten ohne Personenbezug (z. B. statistische Zähler).
• Antworten und Kontaktdaten mit Einwilligung: werden bis zum erfolgreichen Versand des Vision-Briefs an Sie und des Reports an die auftraggebende Stelle verarbeitet. Spätestens 90 Tage nach Versand werden Ihre Antworten und Kontaktdaten in unserem System automatisiert anonymisiert; ein Personenbezug ist danach ausgeschlossen. Bei einem früheren Widerruf Ihrer Einwilligung werden die betroffenen Daten unverzüglich anonymisiert. Die Weiterverarbeitung Ihrer Daten in den Systemen der auftraggebenden Stelle (etwa zur Vorbereitung eines Behandlungs- bzw. Beratungsverhältnisses) erfolgt in deren eigener datenschutzrechtlicher Verantwortung; Speicherdauern dort entnehmen Sie der Datenschutzerklärung der jeweiligen Stelle.
• DOI-Verifizierungs-Token: werden nach erfolgter Verifizierung oder nach Ablauf der Gültigkeit gelöscht.

11. Ihre Rechte

Bezüglich der Verarbeitung Ihrer personenbezogenen Daten stehen Ihnen folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für die N3MO GmbH zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel.

Zur Ausübung dieser Rechte wenden Sie sich bitte an die unter Ziffer 1 genannten Kontaktdaten. Sofern sich Ihr Anliegen auf die im Rahmen der Nutzung eingegebenen Inhalte bezieht und die Verarbeitung im Auftrag einer dritten Stelle erfolgt, leiten wir Ihre Anfrage unverzüglich an die verantwortliche Stelle weiter.