1 Allgemeine Informationen zur Datenverarbeitung

Diese Datenschutzerklärung beschreibt die Erfassung und Verwendung personenbezogener Daten im Zusammenhang mit der Teilnahme an unserer Nutzerforschung nach den Vorgaben der Datenschutz-Grundverordnung („DSGVO“). Als Nutzerforschung bezeichnen wir im Folgenden alle Formate, mit denen wir Rückmeldungen zu unseren Produkten einholen: die Anmeldung zu einem Teilnehmendenpool wie unserem Nutzer:innen-Panel, Interviews, Usability-Tests, Befragungen, Feedback-Runden und Testphasen.

Die Teilnahme an der Nutzerforschung ist freiwillig und erfolgt unabhängig von der Nutzung unserer Produkte. Eine Nichtteilnahme oder ein Widerruf Ihrer Einwilligung hat keine Auswirkungen auf Ihre Nutzung unserer Produkte oder auf die Geschäftsbeziehung zwischen uns und Ihrer Klinik bzw. Einrichtung.

Im Rahmen der Nutzerforschung verarbeiten wir keine Patientendaten und keine personenbezogenen Daten besonderer Kategorien im Sinne des Art. 9 DSGVO. Wir bitten Sie, uns solche Daten auch nicht mitzuteilen und bei Bildschirmfreigaben ausschließlich Test- oder anonymisierte Daten zu verwenden.

1.1 Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

dotbase medical GmbH („dotbase“ / „wir“ / „uns“)
Kottbusser Damm 70
10967 Berlin

1.2 Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten über Simpliant bestellt. Simpliant berät uns als externer Datenschutzbeauftragter und bei der Implementierung und Aufrechterhaltung unseres Datenschutz-Managementsystems. Mehr Informationen über Simpliant finden Sie auf www.simpliant.eu.

Unseren bestellten Datenschutzbeauftragten können Sie per E-Mail erreichen unter: datenschutz(et)dotbase.org.

1.3 Betroffenenrechte und Aufsichtsbehörde

Sie können die folgenden Rechte ausüben:

• Recht auf Auskunft über Ihre bei uns gespeicherten Daten und deren Verarbeitung (Art. 15 DSGVO),
• Recht auf Berichtigung unrichtiger Personendaten (Art. 16 DSGVO),
• Recht auf Löschung Ihrer bei uns gespeicherten Daten (Art. 17 DSGVO),
• Recht auf Einschränkung der Datenverarbeitung, wenn wir Ihre Daten aufgrund gesetzlicher Verpflichtungen noch nicht löschen dürfen (Art. 18 DSGVO),
• Recht auf Portabilität der Daten, wenn Sie in die Datenverarbeitung eingewilligt oder einen Vertrag mit uns abgeschlossen haben (Art. 20 DSGVO),
• Recht auf Widerspruch gegen die Verarbeitung Ihrer Daten durch uns (Art. 21 DSGVO),
• Verarbeiten wir Ihre Daten auf Grundlage Ihrer Einwilligung, so haben Sie das Recht, die erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Um Ihre Rechte auszuüben, können Sie sich per E-Mail an datenschutz(et)dotbase.org wenden.

Bitte beachten Sie, dass wir in diesem Fall Ihre Identität überprüfen und Sie daher mit geeigneten Mitteln identifizieren müssen. Die Bearbeitung Ihres Antrags und die Identifizierung Ihrer Person erfolgt auf der Grundlage des Art. 6 Abs. 1 lit. c DSGVO.

Sie können jederzeit gem. Art. 77 DSGVO i. V. m. § 19 Bundesdatenschutzgesetz („BDSG“) eine Beschwerde bei einer Aufsichtsbehörde einreichen, z. B. bei der zuständigen Aufsichtsbehörde des Bundeslandes, in dem Sie wohnen, oder bei der für uns zuständigen Behörde.

Die für uns zuständige Behörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59-61
10555 Berlin

1.4 Verarbeitung von Daten, Zweck und Rechtsgrundlagen

Ihre personenbezogenen Daten verarbeiten wir im Einklang mit den Bestimmungen der DSGVO sowie dem BDSG.

Insbesondere werden Ihre Daten auf der Grundlage der folgenden Rechtsgrundlagen verarbeitet:

• Art. 6 Abs. 1 lit. a DSGVO - Ihre Einwilligung,
• Art. 6 Abs. 1 lit. c DSGVO - Erfüllung einer rechtlichen Verpflichtung,
• Art. 6 Abs. 1 lit. f DSGVO - berechtigte Interessen.

1.5 Speicherdauer

Wir unternehmen alle angemessenen Schritte, um sicherzustellen, dass Ihre personenbezogenen Daten nur für den jeweils nach dem Verarbeitungszweck erforderlichen Zeitraum verarbeitet werden. Wenn die Speicherdauer nicht weiter unten angegeben ist, werden Ihre personenbezogenen Daten gelöscht oder gesperrt, sobald der Zweck oder die Rechtsgrundlage für die Speicherung wegfällt. Eine Löschung personenbezogener Daten erfolgt nicht, wenn die Speicherung gesetzlich vorgeschrieben ist (z. B. §§ 257 HGB, 147 AO). Des Weiteren können wir Ihre personenbezogenen Daten bis zum Ablauf der gesetzlichen Verjährungsfristen (im Regelfall 3 Jahre; im Einzelfall aber auch bis zu 10 Jahre oder länger) aufbewahren, sofern dies für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

1.6 Datensicherheit

Um die Sicherheit Ihrer Daten während der Übertragung zu schützen, setzen wir technische und organisatorische Sicherheitsmaßnahmen ein, um den unberechtigten Zugriff Dritter zu verhindern. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert und angepasst.

1.7 Übermittlung an Dienstleister

Für die Bereitstellung unserer Angebote nutzen wir Dienstleister. Diese handeln nur nach unseren Weisungen und sind vertraglich verpflichtet, die Bestimmungen von Art. 28 DSGVO zu beachten. Für die in dieser Datenschutzerklärung beschriebenen Verarbeitungen sind dies:

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“) – Anmeldeformulare, Teilnehmendenliste, E-Mail, Terminplanung, Videokonferenz und Dateiablage,
• Notion Labs, Inc., 685 Market Street, San Francisco, CA 94105, USA („Notion“) – Dokumentation und Auswertung unserer Nutzerforschung; die Teilnehmendenliste wird dort nicht gespeichert,
• Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland („Anthropic“) – KI-gestützte Auswertung von Notizen und Rückmeldungen. Ihre Daten werden nicht zum Training von KI-Modellen verwendet.

Kommen bei einer einzelnen Verarbeitung weitere Empfänger hinzu, sind diese in der jeweiligen Ziffer genannt. Innerhalb von dotbase haben nur die mit der Nutzerforschung betrauten Personen Zugriff auf Ihre Angaben.

1.8 Datentransfer in Drittländer

Wenn nicht anders angegeben, werden Ihre Daten nicht in ein Drittland außerhalb der Europäischen Union („EU“) übermittelt. Ihre personenbezogenen Daten werden nur dann in Drittländer übermittelt, wenn die Anforderungen von Art. 44 bis Art. 49 DSGVO erfüllt sind (dies umfasst insbesondere den Abschluss der von der EU-Kommission beschlossenen Standardvertragsklauseln, verbindliche Unternehmensregeln sowie Angemessenheitsentscheidungen der EU-Kommission).

Bei Google werden die Daten grundsätzlich in Rechenzentren innerhalb der Europäischen Union verarbeitet. Da Google Teil eines US-amerikanischen Konzerns ist, kann ein Zugriff aus den USA, etwa im Rahmen von Supportleistungen, nicht ausgeschlossen werden. Soweit hierbei personenbezogene Daten in die USA übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission, da die Google LLC sich unter dem EU-U.S. Data Privacy Framework zertifiziert hat. Ergänzend wurden die Standardvertragsklauseln der EU-Kommission im Rahmen des Auftragsverarbeitungsvertrags abgeschlossen.

Notion verarbeitet die Daten in den USA. Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission beschlossenen Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter), die Bestandteil des mit Notion geschlossenen Auftragsverarbeitungsvertrags sind.

Anthropic ist Vertragspartner mit Sitz in Irland; eine Verarbeitung erfolgt auch in den USA. Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission beschlossenen Standardvertragsklauseln, die Bestandteil des mit Anthropic geschlossenen Auftragsverarbeitungsvertrags sind.

1.9 Keine Verpflichtung zur Datenbereitstellung / Kein Profiling

Es besteht keine gesetzliche oder vertragliche Verpflichtung, an der Nutzerforschung teilzunehmen oder uns Daten zur Verfügung zu stellen. Ohne die im jeweiligen Anmeldeformular als erforderlich gekennzeichneten Angaben können wir Sie jedoch nicht in unsere Liste der Teilnehmenden aufnehmen. Ihre personenbezogenen Daten werden nicht für die automatisierte individuelle Entscheidungsfindung einschließlich Profiling verwendet.

2 Anmeldung und Verwaltung der Teilnehmendenliste

Art und Zweck der Datenverarbeitung:

Die Anmeldung erfolgt über ein Online-Formular. Wenn Sie sich für die Teilnahme an unserer Nutzerforschung anmelden, etwa für unser Nutzer:innen-Panel oder für eine einzelne Studie, verarbeiten wir Ihre Angaben, um Sie in unsere Liste der Teilnehmenden aufzunehmen, für einzelne Studien passende Teilnehmende auszuwählen und Sie zu Terminen einzuladen. Verarbeitet werden je nach Formular Ihr Name, Ihre E-Mail-Adresse, Ihre berufliche Rolle, Ihre Klinik bzw. Einrichtung und Ihre bevorzugte Sprache sowie Zeitpunkt und Inhalt Ihrer Einwilligungserklärung.

Rechtsgrundlage:

Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Den Nachweis der Einwilligung bewahren wir zur Erfüllung unserer Rechenschaftspflicht nach Art. 5 Abs. 2 i. V. m. Art. 7 Abs. 1 DSGVO auf.

Aufbewahrungsfrist:

Wir speichern Ihre Daten für die Dauer Ihrer Teilnahme an unserer Nutzerforschung, längstens jedoch 24 Monate ab Ihrer letzten Teilnahme oder Kontaktaufnahme im Rahmen der Nutzerforschung. Danach werden die Daten gelöscht. Widerrufen Sie Ihre Einwilligung, löschen wir Ihre Daten unverzüglich; hiervon ausgenommen ist der Nachweis der erteilten und der widerrufenen Einwilligung.

Widerruf:

Sie können Ihre Einwilligung jederzeit formlos mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an datenschutz(et)dotbase.org. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

3 Durchführung von Interviews, Usability-Tests und Befragungen

Art und Zweck der Datenverarbeitung:

Nehmen Sie an einem Termin oder einer Befragung teil, verarbeiten wir die zur Terminvereinbarung erforderlichen Daten sowie Ihre Antworten, Rückmeldungen und unsere Notizen aus dem Termin. Bei Terminen per Videokonferenz verarbeiten wir zusätzlich die hierfür erforderlichen Verbindungs- und Nutzungsdaten. Zweck ist die Bewertung und Weiterentwicklung unserer Produkte.

Wir werten Rückmeldungen grundsätzlich zusammengefasst aus. Ergebnisse, die wir innerhalb von dotbase oder gegenüber Dritten teilen, bereiten wir so auf, dass ein Rückschluss auf einzelne Personen nicht möglich ist.

Rechtsgrundlage:

Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Aufbewahrungsfrist:

Notizen und Auswertungen aus einem Termin löschen oder anonymisieren wir spätestens 24 Monate nach Abschluss der jeweiligen Studie.

4 Aufzeichnung von Terminen

Art und Zweck der Datenverarbeitung:

Soweit es für die Auswertung erforderlich ist, zeichnen wir Interviews und Usability-Tests auf (Ton, Bild und gegebenenfalls Bildschirminhalt) und erstellen hiervon Transkripte. Eine Aufzeichnung erfolgt ausschließlich dann, wenn Sie gesondert und ausdrücklich eingewilligt haben. Bei einzelnen Formaten, etwa Usability-Tests, ist die Aufzeichnung Voraussetzung für die Auswertung und damit für die Teilnahme an diesem Format; wir weisen Sie darauf bereits in der Einladung hin und holen Ihre Einwilligung vorab ein. Bei allen anderen Formaten ist eine Teilnahme auch ohne Aufzeichnung möglich. Eine Ablehnung hat keine weiteren Folgen für Sie.

Rechtsgrundlage:

Die Verarbeitung erfolgt auf Grundlage Ihrer gesonderten Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Aufbewahrungsfrist:

Aufzeichnungen löschen wir, sobald die Auswertung abgeschlossen ist, spätestens jedoch drei Monate nach dem Termin. Für die aus der Aufzeichnung erstellten Notizen und Transkripte gilt die Aufbewahrungsfrist nach Ziffer 3.

Widerruf:

Sie können Ihre Einwilligung in die Aufzeichnung jederzeit mit Wirkung für die Zukunft widerrufen. Wir löschen die Aufzeichnung in diesem Fall unverzüglich.

5 Änderungen dieser Datenschutzerklärung

Wir behalten uns das Recht vor, diese Datenschutzerklärung anzupassen, sodass sie stets den aktuellen gesetzlichen Anforderungen sowie der aktuellen Ausgestaltung unserer Nutzerforschung entspricht. Für Ihre Einwilligung gilt jeweils die Fassung, die Ihnen zum Zeitpunkt der Einwilligung vorlag. Die jeweils aktuelle Fassung ist unter www.dotbase.org/privacy-feedback abrufbar.