TheraPlan Datenschutzerklärung der Testphase
1. Verantwortliche
Verantwortliche für die Testphase ist Evelyn Schneider, Walter-Friedländer-Str. 7, 10249 Berlin, Deutschland, E-Mail: info@mytheraplan.com.
2. Zwecke der Verarbeitung
TheraPlan verarbeitet Daten zur Registrierung, Authentifizierung, Rollensteuerung, Therapieorganisation, Termin- und Gruppenplanung, Aufgabenverwaltung, Bereitstellung von Materialien, Dokumentenablage, Feedbackauswertung, Benachrichtigungen, Testauswertung, Sicherheitsprotokollierung, Datenexport und Kontolöschung.
3. Datenkategorien
- Kontodaten: E-Mail-Adresse, Passwort-Hash, Rolle, Sprache, Erstellungszeitpunkt.
- Therapieorganisationsdaten: Profile, Gruppen, Termine, Verfügbarkeiten, Aufgaben, Zahlungsvermerke, Materialien, Dokumente und Statusangaben.
- Feedback- und Nutzungsdaten: App-Feedback, Materialöffnungen, technische Fehler- und Sicherheitsereignisse.
- Einwilligungsnachweise: Nutzer-ID, Rolle, Zeitstempel, Versionen der Testbedingungen und Datenschutzerklärung, bestätigte Checkboxen, IP-Adresse und User-Agent.
4. Gesundheitsdaten
Je nach Nutzung können Gesundheitsdaten oder vergleichbar sensible Angaben verarbeitet werden, etwa therapeutische Ziele, Aufgaben, Feedback oder Dokumente. Die Verarbeitung erfolgt in der Pilotphase nur auf Grundlage einer ausdrücklichen Einwilligung der betroffenen Nutzer*innen.
5. Technische Anbieter und Speicherorte
Die Weboberfläche wird über Netlify ausgeliefert. Die API läuft auf Google Cloud Run in Frankfurt (europe-west3). Die Datenbank und der private Dateispeicher werden in Supabase in der EU-Region Frankfurt (eu-central-1) betrieben. Eingesetzte Dienstleister werden für Hosting, Datenbank, Speicher, E-Mail-Zustellung und Betriebssicherheit verwendet.
6. Sicherheit der Pilotphase
Die App nutzt Authentifizierung, rollenbasierte API-Prüfungen, Sicherheitsheader, Rate-Limits, Audit-Logs, private Dateiablage mit signierten Zugriffslinks und zusätzliche Sicherheitsregeln auf Datenbankebene. Da TheraPlan eine Pilotversion ist, können trotz dieser Maßnahmen Restrisiken bestehen.
7. Speicherdauer, Export und Löschung
Daten werden für die Dauer der Testteilnahme und soweit für Auswertung, Sicherheit oder Nachweis der Einwilligung erforderlich gespeichert. Nutzer*innen können ihre zugeordneten Daten exportieren und ihr Konto löschen. Hochgeladene Dateien werden bei Konto- oder Datensatzlöschung entfernt, soweit sie technisch eindeutig zugeordnet werden können.
8. Rechte der betroffenen Personen
Betroffene Personen können Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen sowie eine Einwilligung mit Wirkung für die Zukunft widerrufen. Anfragen können an info@mytheraplan.com gerichtet werden.
9. Rechtsgrundlagen und UK-Pilot
Für Personen im Vereinigten Königreich gelten, soweit anwendbar, die UK GDPR und der Data Protection Act 2018 zusätzlich zu den für die Anbieterin geltenden europäischen Vorgaben. Für Konto- und Pilotverwaltung kommen insbesondere Vertrag bzw. vorvertragliche Maßnahmen, Einwilligung und berechtigte Interessen an einem sicheren Pilotbetrieb in Betracht. Für Gesundheitsdaten ist zusätzlich eine Bedingung nach Art. 9 erforderlich; in der Pilotphase wird hierfür eine gesonderte ausdrückliche Einwilligung eingeholt. Vor der Aufnahme einer UK-Praxis werden Verantwortlichkeiten zwischen Praxis und TheraPlan vertraglich festgelegt.
10. Übermittlungen zwischen UK und EWR
UK-Pilotdaten werden in der EU bzw. im Europäischen Wirtschaftsraum verarbeitet. Soweit dies eine beschränkte Übermittlung nach UK GDPR darstellt, stützt sie sich auf die jeweils geltenden UK-Angemessenheitsvorschriften für den EWR oder auf andere erforderliche Garantien. Details zu den eingesetzten Empfängern und Garantien können unter info@mytheraplan.com angefragt werden.
11. UK-Vertretung und Beschwerde
TheraPlan ist in Deutschland ansässig und nimmt UK-Praxen nur nach individueller Bestätigung in den Pilotbetrieb auf. Soweit eine Vertretung nach Art. 27 UK GDPR erforderlich ist, werden deren Kontaktdaten vor Verarbeitung von UK-Pilotdaten hier veröffentlicht und den betroffenen Personen mitgeteilt. Betroffene können sich außerdem bei der britischen Datenschutzaufsicht ICO beschweren.
12. Keine automatisierten klinischen Entscheidungen
TheraPlan stellt keine Diagnosen, gibt keine Behandlungsempfehlungen und trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung.