Datenschutzerklärung Online-Programm „Selfapy“ – Schweizer Version 

Orientierungshilfe 

Der Schutz Ihrer personenbezogenen Daten ist uns ein grosses Anliegen. Mit dieser Datenschutzerklärung möchten wir Sie über Umfang und Zweck der von uns erhobenen, genutzten und verarbeiteten personenbezogenen Daten informieren. Dabei beachten wir die Vorschriften der EU-Datenschutzgrundverordnung (nachfolgend „DSGVO“) und des Schweizer Bundesgesetzes über den Datenschutz (nachfolgend „DSG“) sowie aller mitgeltender datenschutzrechtlicher Bestimmungen. 

Eine Übersicht der einzelnen Kapitel zur besseren Orientierung finden Sie hier: 

1 Präambel – Hier finden Sie eine kurze Übersicht zum Inhalt des Online-Programms und den Datenschutzthemen. 

2 Kontakt – Wie können Sie einfach und schnell mit uns Kontakt aufnehmen? 

3 Datenverarbeitung und -speicherung – Welche Ihrer Daten werden wie, wozu, wo, durch wen und wie lange gespeichert und verarbeitet? 

4 Rechtsgrundlage – Auf welcher Rechtsgrundlage verarbeiten wir Ihre Daten, soweit eine solche erforderlich ist? 

5 Datenübermittlung – An welche Auftragsverarbeiter und Dritte werden Ihre Daten, zu welchen Zwecken und (soweit erforderlich) auf welcher Rechtsgrundlage übermittelt? 

6 Datensicherheit – Was tun wir, um Ihre Daten angemssen zu schützen? 

7 Ihre Rechte – Hier finden Sie einen Überblick zu all Ihren Rechten als Betroffene. 

 

 

1. Präambel

Das psychologische Online-Programm von Selfapy bietet therapeutische Techniken und Übungen als Unterstützung für Patienten die unter psychischen Belastungen wie Depression, Generalisierter Angststörung, Binge-Eating-Störungen oder Bulimie leiden. Selfapy ersetzt dabei nicht die Behandlung durch einen Leistungserbringer im Gesundheitswesen (z.B. Psychologen) oder liefert Informationen für diagnostische oder therapeutische Entscheidungen. 

Sie haben die Möglichkeit unser Online-Programm über eine Applikation (App) oder als Webversion zu nutzen.  

Auf der Grundlage spezifischer Benutzereingaben während der Nutzerkontoerstellung werden individuelle inhaltliche Vorschläge bereitgestellt. Spezifische Features wie Erinnerungen, Feedbackschleifen und andere Funktionalitäten ermöglichen Ihnen eine interaktive Auseinandersetzung mit unserer Software. 

Im Rahmen der Registrierung und Nutzung werden verschiedene personenbezogene Daten von Ihnen erhoben. Bei diesen Daten handelt es sich u.a. um Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO und Art. 5 lit. c) DSG, die gesetzlich besonders geschützt sind.  In dieser Datenschutzerklärung legen wir dar, zu welchen Zwecken und wie wir diese Daten verarbeiten, wie wir diese Daten schützen und wie Sie Ihre Rechte als betroffene Personen wahrnehmen können.

2. Kontakt

Sie erreichen uns direkt über unsere Service-E-Mail-Adresse support@selfapy.ch Unsere Servicezeiten sind von Mo-Fr (außer an Feiertagen) von 8:00 bis 18:00 Uhr. 

Spätestens innerhalb von 48 Stunden erhalten Sie von uns eine Rückmeldung zu Ihrer Anfrage. 

Verantwortlicher iSd. Art. 4 Abs. 7 DSGVO und des Art. 5 lit. j) DSG sowie sonstiger mitgeltender datenschutzrechtlicher Bestimmungen ist die:[Textumbruch]
Selfapy GmbH[Textumbruch]Kastanienallee 29/30[Textumbruch]10435 Berlin
E-Mail: support@selfapy.ch 

Vertretungsberechtigte Person
Dr. Felix Lambrecht 

Interne Datenschutzbeauftragte:
Sollten Sie Fragen zu unseren Datenschutzmaßnahmen, zur Verarbeitung Ihrer Daten oder bezüglich der Wahrung Ihrer Betroffenenrechte haben, erreichen Sie das Datenschutzteam unseres Mutterkonzerns der MEDICE Arzneimittel Pütter GmbH & Co. KG wie folgt: 

MEDICE Arzneimittel Pütter GmbH & Co. KG GmbH 

Datenschutz
Medice-Allee 1
58638 Iserlohn
Telefon: +49 (0)2371 937 0 
E-Mail: datenschutz-selfapy@medice.de 

 Bei vertraulichen Anliegen in Bezug auf den Datenschutz können Sie sich direkt an die Datenschutzbeauftragte unseres Mutterkonzerns wenden unter dsb@medice.de.

3. Datenverarbeitung und -speicherung

Der datenschutzrechtliche Begriff "personenbezogene Daten" bezeichnet dabei alle Informationen, die sich auf einen identifizierten oder identifizierbaren Menschen beziehen, wie z.B. Kontaktdaten, Alter oder Geschlecht. Auch eine IP-Adresse kann so ein personenbezogenes Datum sein. 

Es werden folgende personenbezogene Daten von Ihnen erhoben und verarbeitet:  

• Kontaktdaten (Vor- und Nachname, Adresse, E-Mail-Adresse) 
• Daten zu Ihrer Korrespondenz mit uns  
• Online-Identifikatoren (IP-Adresse, User-Agent, gekürzte IP-Adresse, Zugriffszeitpunkte, Informationen zum genutzten Endgerät) 
• Gesundheitsdaten (Symptomverlauf, Informationen zur Tagesprotokollierung/Stimmung, Gefühle und Gedanken, innerhalb der Trainingsmodule erfasste Antworten zum Gesundheitszustand) 
• Subjektive Feedbackdaten zu „wöchentlichen Übungen“ 
• Gerätedaten im Falle einer Support-Anfrage (App Versionsnummer, Modelltyp, Betriebssystemversion) 
• optional: biometrische Daten (Fingerabdruck, Gesichtsmerkmale) 
• optional: Kontakt- und Qualifikationsdaten des verordnenden Arztes (Vor- und Nachname, Fachgebiet) 
• optional: Trackingdaten (Anzahl Logins, Session Dauer, Gesamtnutzungszeit in Stunden/Tagen, Bearbeitungsstand Trainingsplan/Inhalte/Programm, Bearbeitungsstand Therapie-Hausaufgaben, durchschnittliche Dauer bis zum Abschluss eines Moduls, eingesetzte Tools), anonymisierte Gesundheitsdaten (Antworten zum Einstiegsfragebogen, Auswertung Verhaltenstagebuch über Zeit, Diagnose) 

 

Abhängig vom genutzten Online-Therapieprogramm (Generalisierte Angststörung, Depression, Binge-Eating-Störung, Bulimie) werden zusätzlich folgende Daten von Ihnen erhoben und verarbeitet: 

Online-Therapieprogramm „Generalisierte Angststörung“: 

• Gesundheitsdaten zur Generalisierten Angststörung (psychischer Gesundheitszustand, Symptome, Schweregrad der Symptome, Häufigkeit des Auftretens der Symptome in den letzten zwei Wochen) 
• Technische Daten (Zeitpunkt Ausfüllen des zugehörigen Fragebogens, technische Metadaten, User-/Session-ID) 

 

Online-Therapieprogramm „Depression“: 

• Gesundheitsdaten zur Depression (psychischer Gesundheitszustand, Symptome, Schweregrad der Symptome, Häufigkeit des Auftretens der Symptome in den letzten zwei Wochen) 
• Technische Daten (Zeitpunkt Ausfüllen des zugehörigen Fragebogens, technische Metadaten, User-/Session-ID) 

 

Online-Therapieprogramm „Essstörung“ (Binge-Eating, Bulimie): 

• Gesundheitsdaten zu Essstörungen (psychischer Gesundheitszustand, Symptome, Schweregrad der Symptome, Häufigkeit des Auftretens der Symptome in den letzten zwei Wochen) 
• Technische Daten (Zeitpunkt Ausfüllen des zugehörigen Fragebogens, technische Metadaten, User-/Session-ID) 

 

Falls die Kosten des Online-Therapieprogramms von der Krankenversicherung übernommen werden, werden zusätzlich folgende Daten erhoben: 

• Demografische Daten (Geburtsdatum) 
• Nachweisdaten: Nutzerverhalten, Teilnahmezeitraum 

 

Die personenbezogenen Daten werden für folgende Zwecke verarbeitet:  

verpflichtend: 

• zur bestimmungsgemäßen Nutzung des Online-Therapieprogramms 
• zur Erfüllung gesetzlicher Verpflichtungen 
• zu Abrechnungszwecken  
• zur Sicherstellung eines sicheren Betriebs, insb. durch Aufrechterhaltung von Datenschutz und Datensicherheit, z.B. durch die Protokollierung und Auswertung von Zugriffsversuchen.  
• zu Kommunikationszwecken (bspw. bei Nutzeranfragen oder Informationsmails) 
• zur Nachweiserbringung (bei einer Übernahme der Kosten der App durch die Krankenkasse) 

 

optional - bei gesonderter Einwilligung: 

• zur Qualitätssicherung, Verbesserung und Weiterentwicklung des Online-Therapieprogramms zur dauerhaften Gewährleistung der technischen Funktionsfähigkeit und Nutzerfreundlichkeit des Online-Therapieprogrammes 
• in anonymisierter Form zu internen Forschungszwecken und Sekundärforschung (z. B. zum Nachweis der Wirksamkeit oder zur Entwicklung weiterer Produkte) 
• zur Versendung der vom Nutzer selbst festgelegten Erinnerungen 
• zur automatisierten Versendung von Hinweisen/Erinnerungen basierend auf dem Lese-/Bearbeitungsfortschritt innerhalb des Online-Therapieprogrammes 

 

Verarbeitung personenbezogener Daten bei Nutzung des Online-Therapieprogrammes 

Sie haben die Möglichkeit, sich unter Angabe von personenbezogenen Daten zu registrieren. 

Ihre Registrierung dient uns dazu, Ihnen Inhalte oder Leistungen anzubieten, die aufgrund der Natur der Sache nur registrierten Benutzern angeboten werden können. Registrierten Personen steht die Möglichkeit frei, die bei der Registrierung angegebenen personenbezogenen Daten jederzeit abzuändern/ändern zu lassen. 

Weiterhin benötigen wir Ihre Gerätemodell-Bezeichnung Ihre Betriebssystemversion und ggf. Ihre App-Versionsnummer um eine Fehleridentifikation im Falle einer Störung vornehmen zu können. 

 

Gesonderte/optionale Einwilligung  

Während der Nutzung des Online-Therapieprogramms gesammelte Nutzungs- und Verkehrsdaten (Navigationswege, Nutzungshäufigkeit bestimmter Features, genutztes Endsystem (Produkt, Betriebssystemversion), etc.) helfen uns, Selfapy und das Nutzererlebnis zu verbessern und im Fall von Fehlern die Ursachen besser analysieren und verstehen zu können.  

Des Weiteren nutzen wir diese Daten zu internen Forschungszwecken (z. B. zum Nachweis der Wirksamkeit oder zur Entwicklung weiterer Feature) sowie im Rahmen von Sekundärfoschung. Ziel hierbei ist die Weiterentwicklung und kontinuierlichen Verbesserung unseres Gesundheitsangebotes.  

Die Verarbeitung dieser Daten findet ausschließlich durch uns anonym – d.h. ohne Bezug zur Ihrer Identität – statt. 

Gemäß Art. 6 Abs. 1 lit. a) DSGVO und Art. 31 Abs. 1 DSG dürfen wird diese Daten auf der Basis Ihrer zusätzlichen, freiwilligen Einwilligung im Rahmen der oben ausgeführten Zwecke verarbeiten, soweit dafür eine Rechtsgrundlage erforderlich ist. 

Wir bitten Sie im Rahmen der Registrierung um Ihre gesonderte Einwilligung. Diese Einwilligung ist optional und Sie können unser Online-Therapieprogramm ohne Einschränkungen nutzen, wenn Sie diese Einwilligung nicht geben. Sie können diese Einwilligung jederzeit unter „Einstellungen“ widerrufen. 

Nutzeranfragen und Kontaktaufnahme  

Im Rahmen der Kontaktaufnahme mit uns (per E-Mail, Kontaktformular, Telefon) werden personenbezogene Daten wie Ihre E-Mail-Adresse, ggf. Ihr Name sowie Gerätedaten (Versionsnummer, Modelltyp, Betriebssystemversion) zum Zwecke der Beantwortung Ihres Anliegens bzw. für die Kontaktaufnahme und die damit verbundene technische Administration gespeichert und verarbeitet. Diese Datenverarbeitung erfolgt auf Basis eines berechtigten Interesses zur Bearbeitung Ihres Anliegens gemäß Art. 6 Abs. 1 lit. f) DSGVO und Art. 31 Abs. 1 DSG. 

Die Bereitstellung des Kundensupports für Selfapy übernimmt die MEDICE Arzneimittel Pütter GmbH & Co. KG, als Mutterkonzern der Selfapy GmbH.  Hierzu besteht eine entsprechende vertragliche Vereinbarung zur Datenverarbeitung in gemeinsamer Verantwortlichkeit gem. Art. 26 DSGVO zwischen der MEDICE Arzneimittel Pütter GmbH & Co. KG und der Selfapy GmbH.  

Im Rahmen der Kontaktaufnahme mit dem Kundensupport (per E-Mail, Kontaktformular, Telefon) können dabei folgende personenbezogene Daten von Ihnen erhoben und verarbeitet werden: 

• Kontaktdaten (Vor- und Nachname, E-Mail-Adresse, Telefonnummer) 
• Kommunikationsdaten (Inhalte der Anfrage/Korrespondenz) 

 

Informations-E-Mails an registrierte Nutzer 

Nach erfolgreicher Registrierung senden wir Ihnen regelmäßig Informationen zum Programmfortschritt innerhalb des Online-Therapieprogramms zu.  

 

Abrechnung mit der Krankenkasse   

Bei einer Kostenübernahme durch Ihre Krankenkasse erfolgt die Abrechnung über die Abgabestelle Publicare AG (Vorderi Böde 9, 5452 Oberrohrdorf, Schweiz).  

Die Publicare AG ist Verantwortliche für sämtliche Datenverarbeitungen im Zusammenhang mit diesem Angebot im Sinne von Art. 4 Abs. 7 DSGVO und  Art. 5 lit. j) DSG. Sie können Ihre Betroffenenrechte (z.B. auf Auskunft, Berichtigung, Löschung, etc.) direkt bei der Publicare AG geltend machen.   

Weiterführende Informationen zur Verarbeitung Ihrer Daten durch die Publicare AG und Ihren Betroffenenrechten finden Sie unter:  https://publicare.ch/de/datenschutz  

Die Selfapy GmbH stellt ausschliesslich das Online-Therapieprogramm bereit.  

Dabei kann es im Rahmen der von Publicare angebotenen Leistungen zu sogenannten Vigilanz-Meldungen oder Meldungen zur Produktqualität kommen. 

Im Rahmen dieser Meldungen zu unseren Produkten verarbeiten unser für die Dokumentation dieser Meldungen zuständiger Mutterkonzern, die MEDICE Arzneimittel GmbH & Co. KG, sowie unser für den Vertrieb des Online-Therapieprogramms in der Schweiz zuständiger Schwesterkonzern Salmon Pharma GmbH personenbezogene Daten wie z.B. Kontaktdaten (Namen der meldenden und von dem unerwünschten Vorkommnis betroffenen Personen), Zeitpunkt des Auftretens des unerwünschten Vorkommnisses, sowie zu Grund- und Begleiterkrankungen, die uns Publicare übermittelt.  

Rechtsgrundlage für die Verarbeitung dieser Daten ist die Erfüllung der gesetzlichen Vorgaben der Verordnung (EU) 2017/745 Medizinprodukte (MDR) zur Erhebung, Meldung und Archivierung dieser Meldungen gem. Art. 6 abs. 1 lit. c) DSGVO und Art. 31 Abs. 1 DSG, der wir als in Deutschland ansässiges Unternehmen unterliegen. Diese Datenverarbeitungen dienen dem Schutz unserer Nutzer, sowie der Gewährleistung eines hohen Qualitäts- und Sicherheitsstandards unserer Produkte.   

Ihre Daten werden dabei nur in pseudonymisierter Form (ohne Bezug zu Ihrer Person) an Dritte (z.B. zuständige Behörden) im Rahmen der gesetzlichen Meldepflichten von Vigilanz-Meldungen weitergegeben.  

Ort der Verarbeitung 

Die von Ihnen im Online-Therapieprogramm eingegebenen personenbezogenen Daten (einschließlich Gesundheitsdaten) werden auf zugriffsgesicherten Servern der Open Telekom Cloud in Deutschland verarbeitet. Allerdings kann es auch sein, dass Ihre Daten in andere Länder übermittelt werden. Das ist besonders der Fall bei unseren unter dem Punkt „eingesetzte Dienste“ aufgeführten Auftrags- und Unterauftragsverarbeitern, die ihren Standort womöglich nicht in der EU bzw. dem EWR haben, sondern in einem anderen Land, potenziell weltweit (z.B. salesforce.com Inc. mit Sitz in den USA). Wir können auch Behörden im Ausland Daten übermitteln, wenn wir rechtlich dazu verpflichtet sind oder z.B. im Rahmen eines Gerichtsverfahrens. Nicht alle diese Länder verfügen über einen angemessenen Datenschutz. Wir gleichen den niedrigeren Schutz durch entsprechende Verträge aus, besonders die sog. Standardvertragsklauseln der Europäischen Kommission, die hier abrufbar sind. 

Zugriff- und Bearbeitungsrechte zu diesen Daten haben ausschließlich festgelegte, berechtigte Mitarbeiter der MEDICE Arzneimittel Pütter GmbH (als Mutterkonzern der Selfapy GmbH), der Medigital GmbH (als unser für den technischen Support zuständiger Schwesterkonzern) und die unter dem Punkt „eingesetzte Dienste“ aufgeführten, den Weisungen der Selfapy GmbH unterliegenden, Auftragsverarbeiter (gem. Art. 28 DSGVO und Art. 9 DSG).  

Die bei einer gesonderten Einwilligung zum Tracking erhobenen personenbezogenen Daten werden auf zugriffsgesicherten Servern der Telekom Healthcare Cloud in Deutschland verarbeitet. 

Zugriff- und Bearbeitungsrechte zu den zu verarbeitenden Daten haben ausschließlich festgelegte, berechtigte Mitarbeiter der MEDICE Arzneimittel Pütter GmbH (als Mutterkonzern der Selfapy GmbH), der Medigital GmbH (als unser für den technischen Support zuständiger Schwesterkonzern) und die unter dem Punkt „eingesetzte Dienste“ aufgeführten, den Weisungen der Selfapy GmbH unterliegenden, Auftragsverarbeiter (gem. Art. 28 DSGVO und Art. 9 DSG). 

Die Daten, die im Rahmen der Kontaktaufnahme an uns übermittelt werden, werden im CRM-System unseres Mutterkonzern der MEDICE Arzneimittel Pütter GmbH & Co. KG, auf den Servern der salesforce.com Germany GmbH in Frankfurt a.M. verarbeitet. 

Zugriff- und Bearbeitungsrechte zu den zu verarbeitenden Dateien haben ausschließlich festgelegte, berechtigte Mitarbeiter der MEDICE Arzneimittel Pütter GmbH (als Mutterkonzern der Selfapy GmbH), der Medigital GmbH (als unser für den technischen Support zuständiger Schwesterkonzern) und die unter dem Punkt „eingesetzte Dienste“ aufgeführten, den Weisungen der Selfapy GmbH unterliegenden, Auftragsverarbeiter (gem. Art. 28 DSGVO und Art. 9 DSG). 

Die von Ihnen erhobenen Abrechnungsdaten, im Falle einer Nutzung des Online-Therapieprogramms als Selbstzahler/Privat Krankenversicherter, werden auf den Servern unseres Zahlungsdienstleisters Stripe Payments Europe Limited Inc. (Stripe) verarbeitet. Weitere Informationen zu Stripe finden Sie unter „Folgende Dienste kommen in der App zum Einsatz“. 

 

Speicher- und Löschfristen 

Wir verarbeiten und speichern Ihre personenbezogenen Daten nur für den Zeitraum, der zur Erreichung des Zwecks des Online-Therapieprogramms erforderlich ist. 

Im Rahmen des Online-Therapieprogramms steht Ihnen der jeweils gebuchte Kurs für 90 Tage ab Aktivierung durch Eingabe des Freischaltcodes zur Verfügung.  Ihre Kursdaten werden insgesamt für 365 Tage nach Aktivierung Ihres Kontos und ihr Account 730 Tage nach Aktivierung Ihres Kontos gelöscht.  

Die im Rahmen der Kontaktaufnahme mit uns erhobenen Daten werden nach abschließender Bearbeitung Ihrer Anfrage gelöscht. Dies ist der Fall, wenn sich aus den Umständen entnehmen lässt, dass der betroffene Sachverhalt abschließend geklärt ist.

 

 4. Rechtsgrundlage bzw. Rechtfertigungsgrund

Die Rechtsgrundlagen für die Verarbeitung Ihrer personenbezogenen Daten bilden Ihre informierte, freiwillige und, wo nötig, ausdrückliche Einwilligung gem. Art. 6 Abs. 1 lit. a) i.V.m. Art. 9 Abs. 2 lit. a) DSGVO, die Bereitstellung des mit Ihnen vertraglich vereinbarten digitalen Dienstes gem. Art. 6 Abs. 1 lit. b) DSGVO, die Erfüllung rechtlicher Vorgaben gem. Art. 6 Abs. 1 lit. c) DSGVO sowie unsere berechtigten Interessen gem. Art. 6 Abs. 1 lit. f) DSGVO. Soweit eine Rechtfertigung im Sinne des DSG nötig ist, stützen wir uns auf die vorangehenden Rechtsgrundlagen als Rechtfertigungsgründe im Sinne von Art. 31 Abs. 1 DSG. 

 5. Datenübermittlung

An folgende Empfänger bzw. Kategorien von Empfängern können die personenbezogenen Daten übermittelt werden: 

• Zuständige Behörden: Unter gewissen Umständen könnten betreffende Daten bei einem Angriff auf unsere Systeme, zur Erfüllung von gesetzlichen Anforderungen, etwa der nationalen Sicherheit oder zur Strafverfolgung an die Strafverfolgungsbehörden weitergegeben werden. 
• Auftragsverarbeiter der Selfpay GmbH (Deutsche Telekom Healthcare and Security Solutions GmbH, HubSpot Germany GmbH, salesforce.com Germany GmbH, Amazon Web Services EMEA SARL, CloudFlare Inc., Sentry, Atlassian PTY Ltd., Stripe Payments Europe Limited Inc.) 
• die Unternehmen der MEDICE Health Family (MEDICE Arzneimittel Pütter GmbH & Co. KG, Medigital GmbH), die an der Erbringung und Bereitstellung der mit Ihnen vereinbarten Dienstleistungen beteiligt sind 

 

Hierzu wurde eine entsprechende vertragliche Vereinbarung zur Datenverarbeitung in gemeinsamer Verantwortung gem. Art. 26 DSGVO zwischen der Selfapy GmbH, der Medigital GmbH und der MEDICE Arzneimittel Pütter GmbH & Co. KG, als Unternehmen der MEDICE Health Family Holding GmbH, mit MEDICE als Muttergesellschaft, abgeschlossen.  

Darüber hinaus wurden entsprechende Vereinbarungen zur Datenverarbeitung im Auftrag gem. Art. 28 DSGVO und Art. 9 DSG mit allen eingesetzten Dienstleistern abgeschlossen, die personenbezogene Daten im Auftrag verarbeiten. 

Alle Auftragsverarbeiter und Unterauftragsverarbeiter unterliegen schriftlichen Vereinbarungen, die sicherstellen, dass personenbezogene Daten nur gemäß den Anweisungen des Verantwortlichen und unter angemessenen technischen und organisatorischen Sicherheitsvorkehrungen verarbeitet werden. 

Folgende Dienste kommen im Online-Therapieprogramm zum Einsatz: 

Deutsche Telekom Healthcare Cloud 

Die Deutsche Telekom Healthcare and Security Solutions GmbH, Friedrich-Ebert-Allee 140, 53113 Bonn (Betreiber der Telekom Healthcare Cloud) übernimmt das Hosting des Online-Therapieprogramms. Unser Online-Therapieprogramm verwendet die Telecom Health Cloud zur Verwaltung des Backends und zur sicheren Datenspeicherung. Die Telecom Health Cloud bietet eine speziell für Gesundheitsdaten entwickelte Infrastruktur, die höchsten Sicherheitsstandards entspricht. Alle gespeicherten Daten werden verschlüsselt und unterliegen strengen Datenschutzrichtlinien. Die Datenverarbeitung erfolgt ausschließlich auf Servern innerhalb der Europäischen Union, um die Einhaltung der Datenschutzvorgaben zu gewährleisten. Hierzu wurde eine entsprechende vertraglich Vereinbarung gem. Art. 28 DSGVO und Art. 9 DSG mit dem Dienstleister abgeschlossen. 

Weitere Informationen zur Telekom Healthcare Cloud finden Sie unter: https://www.telekom-healthcare.com/cloud-und-sicherheit/cloud-plattform-gesundheitswesen/healthcare-cloud  

 

Salesforce 

Unser für den Kundensupport des Online-Therapieprogramms zuständiger Mutterkonzern die MEDICE Arzneimittel Pütter GmbH & Co. KG nutzt die CRM-Lösungen des Anbieters salesforce.com Germany GmbH, Erica-Mann-Str. 31-37, 80636 München, Deutschland. Die CRM-Plattform (Customer-Relationship-Management-Plattform) wird für das Management von Kunden- und Einwilligungsdaten, das Vertriebs- und Marketingmanagement, sowie zur Bereitstellung des Kundensupport eingesetzt. 

Alle gespeicherten Daten werden verschlüsselt und unterliegen strengen Datenschutzrichtlinien. Die Datenverarbeitung erfolgt ausschließlich auf Servern innerhalb von Deutschland. 

Der Mutterkonzern der salesforce.com Germany GmbH, die salesforce.com Inc., ist als US-Unternehmen unter dem EU-US sowie dem CH-US Privacy Framework zertifiziert, womit der Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO und jener des Bundesrats gem. Anhang 1 der Schweizer Verordnung über den Datenschutz (DSV) greifen und somit ein angemessenes Datenschutzniveau bestätigt wird. Es wurden entsprechende vertragliche Vereinbarungen gem. Art. 28 DSGVO und Art. 9 DSG auf Grundlage der Standardvertragsklauseln der Europäischen Kommission mit (soweit erforderlich) Schweizer Addendum mit dem Dienstleister abgeschlossen. 

Nähere Informationen zu den Datenschutzbestimmungen von salesforce finden Sie unter: https://www.salesforce.com/de/company/privacy/ 

 

Amazon CloudFront (Content Delivery Network) 

Wir nutzen Amazon CloudFront, einen Webservice von Amazon Web Services (AWS) als unser Content Delivery Network (CDN) zur Bereitstellung der Webversion des Online-Therapieprogramms. Anbieter ist die Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, 1855 Luxemburg. 

Hierbei werden keine personenbezogenen Daten von Ihnen an AWS übermittelt.  

Die Verarbeitung Ihrer Daten erfolgt zum Zwecke der Bereitstellung der Webversion unseres Online-Therapieprogramms gem. Art. 6 Abs. 1 lit. f) DSGVO und Art. 31 Abs. 1 DSG.  

Das Mutterunternehmen Amazon.com.Inc. ist als US-Unternehmen unter dem EU-US Data Privacy Framework zertifiziert. Es liegt hiermit ein Angemessenheitsbeschluss gem. Art. 45 DSGVO und Anhang 1 DSV vor, sodass eine Übermittlung personenbezogener Daten auch ohne weitere Garantien oder zusätzliche Maßnahmen erfolgen darf. Um Ihre Daten zu schützen haben wir darüber hinaus eine vertragliche Vereinbarung zur Auftragsverarbeitung gem. Art. 28 DSGVO und Art. 9 DSG, auf Grundlage der Standardvertragsklauseln der Europäischen Kommission gem. Art. 16 Abs. 2 lit. d) DSG mit dem Dienstleister abgeschlossen. 

Nähere Informationen zu den Datenschutzbestimmungen von AWS finden Sie unter: https://aws.amazon.com/de/privacy/?nc1=f_pr  

 

CloudFlare 

Bei der Websversion unseres Online-Therapieprogramms nutzen wir zusätzlich die Funktionen des Anbieters CloudFlare Inc. 665 3rd St. #200, San Francisco, CA 94107, USA (nachfolgend „CloudFlare“). 

CloudFlare bietet ein weltweit verteiltes Content Delivery Network mit DNS an. Technisch wird der Informationstransfer zwischen Ihrem Browser und der Webversion unseres Online-Therapieprogramms über das Netzwerk von CloudFlare geleitet. CloudFlare ist damit in der Lage, den Datenverkehr zwischen Anwender und der Webversion zu analysieren, um beispielsweise Ihrem Webbrowser zu ermöglichen unsere Server zu finden. 

Hierbei werden die folgenden Daten von Ihnen auf den Servern von CloudFlare in den USA verarbeitet: 

• IP-Adresse des anfragenden Systems 
• DNS-Abfragedaten 
• Zeitstempel und Metadaten der Anfrage 

 

Diese Verarbeitung ist für den Betrieb und die Sicherheit der DNA-Infrastruktur erforderlich.
Die Rechtsgrundlage für den Einsatz von CloudFlare ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb der Webversion unseres Online-Therapieprogramms gem. Art. 6 Abs.1 lit. f) DSGVO und Art. 31 Abs. 1 DSG.
Die Verwendung des Dienstleisters erfolgt auf Grundlage eines Auftragsverarbeitungsvertrages gem. Art. 28 DSGVO und Art. 9 DSG, auf Grundlage der EU-Standardvertragsklauseln gem. Art. 16 Abs. 2 lit. d) DSG. 

CloudFlare ist als US-Unternehmen unter dem EU-US sowie dem CH-US Privacy Framework zertifiziert und garantiert damit ein der DSGVO sowie dem DSG angemessenes Datenschutzniveau. Es grefit der Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO und sowie jener des Bundesrats gem. Anhang 1 DSV. 

Nähere Informationen zu den Datenschutzbestimmungen von CloudFlare finden Sie unter:  

https://www.cloudflare.com/privacypolicy/  

 

Sentry.io 

Wir verwenden das Tool Sentry.io (Sentry, 1501 Mariposa St #408, San Francisco, CA 94107, USA) für die Fehleranalyse, um die technische Stabilität Online-Therapieprogramms durch Überwachung der Systemstabilität und Ermittlung von Codefehlern zu verbessern. Sentry hilft uns, technische Probleme schnell zu identifizieren und zu beheben. Hierbei werden Fehlermeldungen und Informationen über die Umstände des Fehlers an Sentry übermittelt. Diese Informationen beinhalten keine Gesundheitsdaten und dienen ausschließlich der Verbesserung und Stabilität unseres Online-Therapieprogramms. 

Sentry dient alleine diesen Zielen und wertet keine Daten zu Werbezwecken aus. Die Daten der Nutzer, wie z.B. Angaben zum Gerät oder Fehlerzeitpunkt werden anonym erhoben und nicht personenbezogen genutzt sowie anschließend gelöscht. 

Sentry ist unter dem EU-US sowie dem CH-US Privacy Framework zertifiziert und garantiert damit ein der DSGVO sowie dem DSG angemessenes Datenschutzniveau. Damit greift der Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO und jener des Bundesrats gem. Anhang 1 DSV greift. Die übermittelten Daten werden in Europa verarbeitet. 

Es wurde eine entsprechende vertragliche Vereinbarung gem. Art. 28 DSGVO und Art. 9 DSG, auf Grundlage der EU-Standardvertragsklauseln gem. Art. 16 Abs. 2 lit. d) DSG, mit dem Dienstleister abgeschlossen. 

Nähere Informationen zu den Datenschutzbestimmungen von Sentry finden Sie unter: https://sentry.io/privacy/. 

 

Jira 

Wir nutzen die Webanwendung Jira zur Fehlerverwaltung und Problembehandlung im Rahmen unseres Kundensupports. Anbieter ist die Atlassian PTY Ltd., Level 6, 341 George Street, Sydney, NSW 2000, Australia.  

Hierbei werden die folgenden Daten von Ihnen verarbeitet: 

• User UUID 
• Freischaltkode 
• Geburtsdatum 
• E-Mail-Adresse 
• Vor- und Nachname 
• Gesundheitsdaten (Indikation: Generalisierte Angststörung/Depression/Essstörung) 

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt ausschließlich auf Servern von Atlassian in Europa. 

Der Mutterkonzern der Atlassian PTY Ltd. ist unter dem EU-US sowie dem CH-US Privacy Framework zertifiziert und garantiert damit ein der DSGVO sowie dem DSG angemessenes Datenschutzniveau. Womit der Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO und jener des Bundesrats gem. Anhang 1 DSV greift. Die übermittelten Daten werden in Europa verarbeitet. 

Es wurde eine entsprechende vertragliche Vereinbarung gem. Art. 28 DSGVO und Art. 9 DSG, auf Grundlage der EU-Standardvertragsklauseln gem. Art. 16 Abs. 2 lit. d) DSG, mit dem Dienstleister abgeschlossen. 

Weitere Informationen hierzu finden Sie in der Datenschutzerklärung von Atlassian: https://www.atlassian.com/de/legal/privacy-policy#privacy-policy-overview  

 

Stripe 

Wir setzten den Zahlungsdienstleister Stripe der Stripe Payments Europe Limited Inc. (SPEL), 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland zur Abwicklung des Zahlungsvorgangs bei Inanspruchnahme unseres Online-Therapieprogramms als Selbstzahler ein. Hierbei werden Ihre Zahlungsdaten zum Zwecke der Abrechnung auf den Servern des Dienstleisters in Irland verarbeitet.  

Der Mutterkonzern Stripe Inc. ist als US-Unternehmen unter dem EU-US sowie dem CH-US Privacy Framework zertifiziert und garantiert damit ein der DSGVO sowie dem DSG angemessenes Datenschutzniveau. Womit der Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO und jener des Bundesrats gem. Anhang 1 DSV greift. Die Verwendung des Dienstleisters erfolgt auf Grundlage eines Auftragsverarbeitungsvertrages gem. Art. 28 DSGVO und Art. 9 DSG. 

Weitere Informationen zu den Datenschutzbestimmungen von Stripe finden Sie unter: 

https://stripe.com/at/privacy  

 

 6. Datensicherheit

Die Sicherheit Ihrer persönlichen Daten ist uns sehr wichtig.   

Bei jeder Erhebung, Speicherung, Nutzung und Übermittlung von Daten bestehen Vertraulichkeitsrisiken (z.B. die Möglichkeit, die betreffende Person zu identifizieren). Diese Risiken lassen sich nicht völlig ausschließen und steigen, je mehr Daten miteinander verknüpft werden können.  

Um diese Risiken angemessen zu reduzieren, ergreifen wir unter anderem folgende technischen und organisatorischen Maßnahmen: 

• Zweifaktor-Authentifizierung Um Ihre Daten vor unbefugtem Zugriff zu schützen und somit deren Vertraulichkeit sowie Integrität gewährleisten zu können, bieten wir Ihnen eine Zwei-Faktor-Authentifizierung an. Hierbei melden Sie sich per Login-Verfahren unter Verwendung von Benutzername, Passwort und TOTP (zeitbasiertem Einmalpasswort) an. Dies stellt sicher, dass nur Sie Zugriff auf Ihr Nutzerkonto haben. 
• SSL/TLS-Verschlüsselung: Die personenbezogenen Daten werden nur über, nach dem aktuellen Stand der Technik verschlüsselte Verbindungen übertragen. Wir setzen hierbei die geltenden Vorgaben des Bundesamts für Sicherheit in der Informationstechnik um und setzen diese Technologie ein, um die Übermittlung Ihrer Daten zu schützen. 
• Anonymisierung der Daten, die im Rahmen der Qualitätssicherung, Weiterentwicklung und kontinuierlichen Verbesserung des Online-Therapieprogramms gesammelt werden. Dies bedeutet, dass eine Identifizierung Ihrer Person nicht möglich ist. 
• Viren-Schutz für die gesamte verwendete IT-Hardware 
• Firewall für unser internes Firmennetzwerk 
• Regelmäßige Schulungen zu Datensicherheit und -schutz für alle Mitarbeiter 
• Regelmäßige Updates aller Software-Komponenten 
• Regelmäßige Datensicherung, um die Verfügbarkeit zu gewährleisten 
• Regelmäßige Risikoanalysen zu den entsprechenden IT-Systemen 

 

7. Ihre Rechte

Im Rahmen der Verarbeitung Ihrer personenbezogenen Daten ist es unser Ziel Ihre Datenschutzrechte zu jedem Zeitpunkt zu gewährleisten. Unsere Servicezeiten, sowie alle Kontaktmöglichkeiten finden Sie unter Punkt 2 „Kontakt“ dieser Datenschutzerklärung. 

Folgenden Rechte können Sie – unter den Voraussetzungen und im Rahmen des anwendbaren Datenschutzrechts – in Bezug auf Ihre personenbezogenen Daten wahrnehmen:   

• Sie können über die Service-E-Mail-Adresse kontakt@selfapy.com Auskunft über die Verarbeitung Ihrer personenbezogenen Daten verlangen.   
• Sie können über die Service-E-Mail-Adresse kontakt@selfapy.com die Anpassung der personenbezogenen Daten fordern, sofern diese fehlerhaft oder unvollständig sind.  
• Sie können über die Service-E-Mail-Adresse kontakt@selfapy.com die Einschränkung der Verarbeitung der personenbezogenen Daten fordern. (1) Für die Dauer der Überprüfung der Richtigkeit der Daten. (2) Wenn die Verarbeitung unrechtmäßig ist und Sie eine Löschung ablehnen. (3) Wenn die Daten vom Verantwortlichen für die Verarbeitungszwecke nicht länger benötigt werden, Sie diese jedoch zu Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen. (4) Im Falle eines Widerspruchs gegen die Datenverarbeitung, solange die entsprechende Interessensabwägung nicht geklärt ist. 
• Sie können über die Service-E-Mail-Adresse kontakt@selfapy.com eine Datenübertragung der zu Ihrer Person erhobenen Daten an Sie oder eine von Ihnen bestimmte Stelle verlangen. 
• Sie können die Löschung der zu Ihrer Person erhobenen Daten verlangen.  
• Sie können der Verarbeitung der personenbezogenen Daten aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit formlos, ohne Angaben von Gründen widersprechen.  
• Sie können Ihre erteilte Einwilligung zur Datenverarbeitung über die Service-E-Mail-Adresse kontakt@selfapy.com jederzeit formlos, ohne Angabe von Gründen widerrufen.  

Bei einem Widerspruch/Widerruf entstehen Ihnen keine Nachteile. Der Widerspruch gilt dabei mit Wirkung für die Zukunft; die bisherigen Datenweitergaben bleiben rechtmäßig. Ihre Daten werden fortan nur noch eingeschränkt durch die Salmon Pharma GmbH verarbeitet, wenn entsprechende gesetzliche Vorgaben nach Art. 6 Abs. 1 lit. c) und Art. 31 Abs. 1 DSG sowie unser berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f) DSGVO und Art. 31 Abs. 1 DSG dies vorgeben. 

Falls Sie weitere Fragen zum Umgang mit Ihren personenbezogenen Daten haben oder von Ihren Rechten Gebrauch machen möchten, können Sie dies über die Service-E-Mail-Adresse kontakt@selfapy.com. Oder Sie wenden sich an das Datenschutzteam unseres Mutterkonzerns unter: 

 

MEDICE Arzneimittel Pütter GmbH & Co. KG GmbH
Datenschutz
Medice-Allee 1, 58638 Iserlohn
Telefon: +49 (0)2371 937 0 
E-Mail: datenschutz-selfapy@medice.de 

Bei vertraulichen Anliegen in Bezug auf den Datenschutz können Sie sich direkt an die Datenschutzbeauftragte unseres Mutterkonzerns wenden unter dsb@medice.de.

Sie können, bei Vorliegen einer Beschwerdegrundlage, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einreichen unter:
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
Schweiz - 3003 Bern
Tel.: 058 462 43 95 (Mo-Fr von 10-12:00 Uhr)
Kontaktformular: https://www.edoeb.admin.ch/de/kontakt