Zur Startseite

Datenschutzerklärung Studienportal

PRÜFEN(Legal): Gesamter Text ist ein Entwurf für studienportal.isi-app.de. Freigabe durch den Datenschutzbeauftragten steht aus; erst danach dürfen echte Leads eingeladen werden.

Stand: [PRÜFEN(Legal): Datum der Freigabe]

Das Studienportal begleitet dich bei der Vorbereitung auf die isi-Erprobungsstudie. Hier steht, welche Daten wir dafür verarbeiten, warum, wie lange und welche Rechte du hast. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst. Weil es um deine Gesundheit geht, behandeln wir sie besonders sorgfältig.

1. Wer ist verantwortlich?

PRÜFEN(Legal): Angaben zur verantwortlichen Stelle und zum Datenschutzbeauftragten aus der Datenschutzerklärung der isi-Webseite übernommen, bestätigen.

Verantwortlich für die Datenverarbeitung in diesem Portal ist:

Endo Health GmbHTheaterstraße 5609111 Chemnitz

Handelsregister: HRB 33447, Amtsgericht ChemnitzVertreten durch: Dr. med. Nadine RohloffTelefon: 0371 335603 00E-Mail: info@endometriose.app

Datenschutzbeauftragter:

Markus RothenhöferE-Mail: info@endometriose.app

2. Wofür verwenden wir deine Daten?

PRÜFEN(Legal): Zwecke vollständig und zutreffend beschrieben?

• Anmeldung: Du meldest dich mit deiner E-Mail-Adresse an. Wir schicken dir dafür einen Anmeldelink und einen Code. Ein Passwort gibt es nicht.
• Profil: Deine Angaben speichern wir, damit wir sie für die Studie schon haben und damit du sie nicht mehrfach eingeben musst.
• Vorbereitung auf die Studie: Das Portal zeigt dir, was bis zum voraussichtlichen Studienstart im Dezember 2026 zu tun ist, und hält deine Angaben zur Checkliste fest (zum Beispiel, ob du schon eine schriftliche Diagnose oder die Bescheinigung hast). Die Bescheinigung selbst lädst du nicht hoch.
• Brief an deine Praxis: Wenn du es willst, erstellen wir in deinem Namen einen Brief an die von dir gewählte Praxis, mit der Bitte um eine ärztliche Bestätigung deiner Diagnose und einem vorausgefüllten Vordruck. Wir versenden ihn nach deiner Unterschrift per Post.
• Schutz vor Missbrauch: Wir begrenzen, wie oft Anmeldelinks angefordert und Briefe verschickt werden können, damit das Portal nicht missbraucht wird. Dazu verwenden wir einen Kurzwert (Hash) deiner IP-Adresse, aus dem sich die Adresse nicht zurückrechnen lässt.
• Überblick für das Studienteam: Berechtigte Mitarbeitende der Endo Health GmbH sehen in einem internen Bereich, wie viele Frauen sich angemeldet haben, ein Profil angelegt haben, einen Brief verschickt haben oder die Bescheinigung haben. Sie sehen dort auch deine Profildaten und können sie für die Studie exportieren.

3. Welche Daten verarbeiten wir?

PRÜFEN(Legal): Datenkategorien vollständig? Gesundheitsbezug der Angaben (Studie zu PMS/PMDS, Diagnosebestätigung) als Gesundheitsdaten einordnen.

• Einladung: deine E-Mail-Adresse, woher sie stammt (zum Beispiel Studien-Warteliste oder isi-Registrierung) und wann du dich zum ersten Mal angemeldet hast.
• Anmeldung: E-Mail-Adresse, einmaliger Code (nur als Kurzwert gespeichert, höchstens 15 Minuten gültig) und deine Sitzung. Zur Sitzung speichert die Anmeldung auch IP-Adresse und Browserkennung (User-Agent).
• Profil: Anrede, Vorname, Nachname, Geburtsdatum, Anschrift, optional Telefonnummer, dazu Zeitpunkt und Textfassung deiner Einwilligung.
• Praxis: die von dir gewählte oder eingegebene Praxis mit Anschrift.
• Status: ob du angibst, schon eine schriftliche Diagnose zu haben, und ob du angibst, die Bescheinigung erhalten zu haben (mit Zeitpunkt).
• Brief: Empfänger-Praxis, Zeitpunkt und Version deiner Einwilligung, Versandstatus, Auftragsnummer des Versanddienstes, IP-Hash. Der Brief enthält deine Angaben aus dem Profil, deine E-Mail-Adresse, die Bitte um eine Diagnosebestätigung im Zusammenhang mit einer Studie zum prämenstruellen Syndrom (PMS) und deine Unterschrift.
• Nicht gespeichert: Das Brief-PDF und deine Unterschrift speichern wir nicht. Wir erzeugen sie für den Versand, übergeben sie an den Versanddienst und verwerfen sie danach. Eine Bescheinigung kannst du nicht hochladen.

4. Auf welcher Grundlage verarbeiten wir deine Daten?

PRÜFEN(Legal): Rechtsgrundlagen und Wortlaut der Einwilligung prüfen, auch die Verwendung der Leads aus Warteliste und isi-Registrierung für die Einladung. Hinweis an Markus: Der Einwilligungstext auf der Seite direkt nach dem ersten Login (Häkchen vor jeder Speicherung) braucht deine Freigabe; ohne Freigabe bleibt er ein Entwurf.

Deine Angaben im Profil, zur Praxis, zum Status und im Brief gehören zum Teil zu den besonderen Kategorien personenbezogener Daten (Gesundheitsdaten): Schon dein Interesse an der Studie sagt etwas über deine Gesundheit aus. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und Art. 6 Abs. 1 lit. a DSGVO.

• Einwilligung für das Portal: Du gibst sie in einem eigenen Schritt direkt nach deiner ersten Anmeldung ab, indem du das Häkchen setzt. Das geschieht, bevor wir irgendetwas von dir speichern. Ohne sie speichern wir weder Profildaten noch eine Praxis noch Angaben zum Stand deiner Bescheinigung. Wir speichern, wann du eingewilligt hast und in welcher Textfassung. Du kannst die Einwilligung jederzeit widerrufen: Schreib dafür an info@endometriose.app (siehe Abschnitt 10).
• Auftrag und Einwilligung für den Brief: Der Brief an deine Praxis ist ein eigener Schritt. Bevor du ihn absendest, erteilst du uns dort einen gesonderten Versandauftrag und eine weitere Einwilligung. Auch dafür speichern wir Zeitpunkt und Textfassung.

Für die technisch notwendige Verarbeitung (Anmeldung, Sitzung, Schutz vor Missbrauch, Sicherheit des Portals) ist die Grundlage unser berechtigtes Interesse an einem sicheren und funktionierenden Portal nach Art. 6 Abs. 1 lit. f DSGVO.

Die Angabe deiner Daten ist freiwillig. Ohne Profil und Einwilligung können wir allerdings keinen Brief für dich erstellen.

5. Cookies und Tracking

PRÜFEN(Legal): Aussage zu Cookies und Tracking bestätigen (Stand der Umsetzung vor Go-Live prüfen).

Wir setzen nur ein Cookie, das für die Anmeldung technisch notwendig ist (Sitzungs-Cookie). Es merkt sich, dass du angemeldet bist. Die Sitzung läuft 30 Tage nach der letzten Nutzung ab. Dafür ist keine Einwilligung nötig.

Es gibt kein Tracking: keine Analyse-, Werbe- oder Social-Media-Werkzeuge, kein Google Tag Manager, kein Meta Pixel. Deshalb gibt es auch kein Cookie-Banner.

6. Dienstleister, die in unserem Auftrag arbeiten

PRÜFEN(Legal): Auftragsverarbeitungsverträge mit allen vier Dienstleistern bestätigen, Anbieterangaben und Drittlandübermittlung prüfen. Der AVV mit emailbrief.de für Briefe mit Gesundheitsbezug ist noch offen.

Mit unseren Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Sie verarbeiten deine Daten nur nach unseren Weisungen.

• Vercel (Hosting): Das Portal läuft bei Vercel in der Region Frankfurt. Vercel verarbeitet dabei technische Verbindungsdaten wie deine IP-Adresse in Server-Logfiles. Anbieter ist die Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Da Vercel ein Unternehmen mit Sitz in den USA ist, lässt sich ein Zugriff aus einem Drittland nicht vollständig ausschließen. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: https://vercel.com/legal/privacy-policy.
• Amazon Web Services (Datenbank): Deine Daten liegen in einer Datenbank bei Amazon Web Services im Rechenzentrum Frankfurt (Region eu-central-1). Anbieter und Vertragspartner: [PRÜFEN(Legal): Angaben zum Anbieter ergänzen].
• Brevo (E-Mail): Den Anmeldelink verschicken wir über Brevo, einen Dienst der Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin. Brevo erhält dafür deine E-Mail-Adresse und den Inhalt der Anmeldemail. Weitere Informationen: https://www.brevo.com/de/legal/privacypolicy/.
• emailbrief.de (Briefversand): Den Brief an deine Praxis lassen wir über emailbrief.de drucken und per Post versenden. Der Dienst erhält dafür das Brief-PDF mit deinen Angaben und deiner Unterschrift sowie die Anschrift der Praxis. Anbieter: [PRÜFEN(Legal): Anbieter von emailbrief.de mit Anschrift ergänzen]. Speicherdauer dort: [PRÜFEN(Legal): ergänzen].

7. Wer bekommt deine Daten noch?

PRÜFEN(Legal): Empfänger vollständig?

• Deine Praxis: Sie erhält den Brief mit deinen Angaben (Name, Geburtsdatum, Anschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, Unterschrift) und dem Vordruck. Ab dort verantwortet die Praxis den Umgang mit dem Brief selbst.
• Studienteam: Berechtigte Mitarbeitende der Endo Health GmbH, die für die Studie und das Portal zuständig sind, können deine Daten im internen Bereich einsehen.
• Eine Weitergabe zu Werbezwecken findet nicht statt.

8. Wie lange speichern wir deine Daten?

PRÜFEN(Legal): Speicherfristen festlegen. Löschfrist der Profile nach Studienende ist noch nicht entschieden (Markus).

• Profil, Praxis, Status, Brief-Protokoll und Einladung: bis Studienende, spätestens [PRÜFEN(Legal): Datum oder Frist ergänzen]. Danach löschen wir sie.
• IP-Hash zum Brief: höchstens 30 Tage, danach ersetzen wir ihn.
• Zähler für die Begrenzung von Anmeldungen: höchstens 30 Tage.
• Anmeldecodes: werden nach Ablauf (15 Minuten) gelöscht.
• Sitzungen mit IP-Adresse und Browserkennung: Eine Sitzung läuft 30 Tage nach der letzten Nutzung ab; abgelaufene Sitzungen löschen wir.
• Server-Logfiles bei Vercel: [PRÜFEN(Legal): Frist bestätigen, in der isi-Datenschutzerklärung sind es höchstens 30 Tage].
• Sofort löschen wir deine Daten auf Wunsch, sofern keine gesetzliche Pflicht entgegensteht (siehe Abschnitt 9).

9. Welche Rechte hast du?

PRÜFEN(Legal): Rechte und Kontaktweg bestätigen.

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten, ihre Herkunft, Empfänger und Zwecke (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Übertragbarkeit der Daten, die du uns auf Grundlage deiner Einwilligung gegeben hast (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO).

Schreib uns dafür an info@endometriose.app. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

10. Einwilligung widerrufen

PRÜFEN(Legal): Widerrufsweg und Folgen bestätigen.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne Angabe von Gründen und ohne Nachteil. Schreib dafür an info@endometriose.app. Wir löschen dann dein Profil und deine Angaben. Was bis zum Widerruf geschehen ist, bleibt rechtmäßig. Ein Brief, der schon bei der Post ist, lässt sich nicht zurückholen.

11. Beschwerde bei der Aufsichtsbehörde

PRÜFEN(Legal): Zuständige Aufsichtsbehörde bestätigen (aus der isi-Datenschutzerklärung übernommen).

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Für uns zuständig ist:

Sächsische Datenschutz- und TransparenzbeauftragtePostfach 11 01 3201330 Dresden

E-Mail: post@sdtb.sachsen.deTelefon: +49 351 85471-101Website: https://www.datenschutz.sachsen.de/

12. Sicherheit und Änderungen

PRÜFEN(Legal): Sicherheitsaussagen mit der Informationssicherheit abgleichen.

Das Portal überträgt Daten verschlüsselt (TLS). Die Datenbank liegt in der EU. Zugriff auf die Daten haben nur Berechtigte.

Wir passen diese Erklärung an, wenn sich das Portal ändert, zum Beispiel wenn weitere Dienste dazukommen. Die jeweils gültige Fassung findest du hier.