Datenschutzerklärung

Dabei ist zwischen zwei unterschiedlichen Rollen zu unterscheiden:

• Bei der Verarbeitung von Daten von Websitebesuchern, Interessenten und registrierten Praxisnutzern ist die MS Nucleus GmbH grundsätzlich selbst Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO).
• Bei Patientendaten, die eine Praxis innerhalb von Centi verarbeitet, ist grundsätzlich die jeweilige Praxis datenschutzrechtlich Verantwortlicher. Die MS Nucleus GmbH verarbeitet diese Daten im Auftrag der Praxis als Auftragsverarbeiter gemäß Art. 28 DSGVO.

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Website, Kundenkonten, Vertragsabwicklung und eigenen Geschäftszwecken ist:

MS Nucleus GmbH
Gundelfinger Straße 5
10318 Berlin
Deutschland

Geschäftsführer: Frederik Marquart

Registergericht: Amtsgericht Berlin (Charlottenburg)
Registernummer: HRB 243388

E-Mail: frederik@centi-health.de
Website: www.centi-health.de

Datenschutzkontakt

Bei Fragen zum Datenschutz können Sie sich an folgende Stelle wenden: E-Mail: frederik@centi-health.de

2. Geltungsbereich

Diese Datenschutzerklärung gilt insbesondere für:

• den Besuch der Website centi-health.de,
• Kontakt- und Demoanfragen,
• die Registrierung und Verwaltung eines Centi-Kontos,
• die Nutzung des Centi-Dashboards durch Praxen und deren Mitarbeitende,
• technische Zugriffs-, Sicherheits- und Protokolldaten,
• digitale Anamnesen,
• Patientenprofile,
• Gesundheits- und Laborberichte,
• Dokumente und elektronische Signaturen,
• Patientenkommunikation,
• automatisierte Extraktion und strukturierte Aufbereitung von Gesundheitsdaten,
• unterstützende Analyse-, Score- und KI-Funktionen,
• sowie die Anbindung freigegebener Daten aus der Elara-App.

Für die Verarbeitung von Daten innerhalb anderer Angebote, insbesondere der Elara Health App, gelten ergänzend die dort bereitgestellten Datenschutzinformationen.

Teil A – Website, Interessenten und Praxisnutzer

3. Besuch unserer Website

Beim Aufruf unserer Website werden technisch erforderliche Daten verarbeitet. Hierzu können insbesondere gehören:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite bzw. Ressource,
• Browsertyp und Browserversion,
• Betriebssystem,
• Referrer-Informationen,
• technische Geräteinformationen,
• Fehler- und Sicherheitsinformationen.

Die Verarbeitung dient dazu, die Website technisch bereitzustellen, ihre Sicherheit zu gewährleisten, Fehler zu erkennen und Missbrauch zu verhindern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Unser berechtigtes Interesse besteht in der sicheren, stabilen und funktionsfähigen Bereitstellung unseres Online-Angebots.

4. Hosting der Website

Für die Bereitstellung unserer Website setzen wir externe Hosting- und Infrastruktur-Dienstleister ein.

Hierzu gehört insbesondere:

Vercel Inc.
USA

Vercel stellt Infrastruktur für die Bereitstellung der Webanwendung zur Verfügung. Dabei können insbesondere technische Zugriffs-, Netzwerk- und Verbindungsdaten verarbeitet werden.

Soweit personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, stellen wir sicher, dass die gesetzlichen Voraussetzungen für eine Drittlandübermittlung erfüllt werden. Dies kann insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien wie den EU-Standardvertragsklauseln erfolgen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO sowie gegebenenfalls Art. 6 Abs. 1 lit. b DSGVO.

5. Kontaktaufnahme und Demoanfragen

Wenn Sie uns per E-Mail, Formular oder auf anderem Wege kontaktieren, verarbeiten wir insbesondere:

• Name,
• E-Mail-Adresse,
• Praxis- oder Unternehmensangaben,
• Inhalt Ihrer Anfrage,
• gegebenenfalls Telefonnummer,
• weitere von Ihnen freiwillig mitgeteilte Angaben.

Die Verarbeitung erfolgt zur Bearbeitung und Beantwortung Ihrer Anfrage.

Soweit die Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

In sonstigen Fällen erfolgt sie auf Grundlage unseres berechtigten Interesses an der Bearbeitung geschäftlicher Anfragen gemäß Art. 6 Abs. 1 lit. f DSGVO.

6. Registrierung und Centi-Benutzerkonto

Bei Registrierung und Nutzung eines Centi-Kontos können insbesondere folgende personenbezogene Daten verarbeitet werden:

• Vor- und Nachname,
• E-Mail-Adresse,
• Praxisname,
• Berufs- bzw. Praxisangaben,
• Benutzerkennung,
• Login- und Authentifizierungsdaten,
• Account- und Tarifinformationen,
• Vertrags- und Abrechnungsinformationen,
• Einstellungen und Konfigurationen des Benutzerkontos,
• technische Nutzungs- und Sicherheitsdaten.

Die Verarbeitung erfolgt zur Einrichtung und Durchführung des Vertrags über die Nutzung von Centi.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Soweit Daten zur Erfüllung gesetzlicher Pflichten verarbeitet werden, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

7. Technische Protokoll- und Sicherheitsdaten

Zur Gewährleistung der Sicherheit der Plattform können technische Protokolldaten verarbeitet werden, insbesondere:

• IP-Adresse,
• Anmeldezeitpunkte,
• fehlgeschlagene Login-Versuche,
• technische Geräte- und Browserinformationen,
• sicherheitsrelevante Systemereignisse,
• technische Fehlerdaten.

Diese Verarbeitung dient insbesondere der IT-Sicherheit, Missbrauchserkennung, Fehleranalyse und Sicherstellung der Systemverfügbarkeit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Teil B – Patientendaten innerhalb von Centi

8. Rollenverteilung bei Patientendaten

Bei Patientendaten, die eine Praxis innerhalb von Centi erhebt, eingibt, hochlädt, empfängt oder anderweitig verarbeitet, entscheidet grundsätzlich die jeweilige Praxis über Zweck und Umfang der Verarbeitung.

Die jeweilige Praxis ist daher grundsätzlich Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO.

Die MS Nucleus GmbH verarbeitet diese Patientendaten ausschließlich im Auftrag der jeweiligen Praxis und ist insoweit Auftragsverarbeiter gemäß Art. 28 DSGVO.

Zwischen der Praxis und der MS Nucleus GmbH wird hierzu eine Vereinbarung zur Auftragsverarbeitung geschlossen.

Die Verantwortung für die Rechtmäßigkeit der Erhebung und Verarbeitung von Patientendaten, insbesondere die Festlegung der einschlägigen Rechtsgrundlagen nach Art. 6 und Art. 9 DSGVO, liegt bei der jeweiligen Praxis.

MS Nucleus nutzt Patientendaten nicht für eigene Behandlungs-, Werbe- oder Profilbildungszwecke.

9. Kategorien der innerhalb von Centi verarbeiteten Patientendaten

Abhängig davon, welche Funktionen eine Praxis verwendet, können insbesondere folgende Daten verarbeitet werden:

Stamm- und Kontaktdaten

• Name,
• Geburtsdatum,
• Geschlecht, soweit angegeben,
• Kontaktdaten,
• Patienten- oder interne Praxiskennungen.

Gesundheitsdaten

Hierbei handelt es sich regelmäßig um besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO, beispielsweise:

• Anamneseangaben,
• Symptome und Beschwerden,
• Diagnosen und medizinische Vorgeschichte,
• Laborwerte und Biomarker,
• Referenzbereiche und Einheiten,
• Vitalwerte,
• Behandlungsinformationen,
• Angaben zu Medikamenten oder Therapien,
• Gesundheitsverläufe,
• medizinische Dokumente,
• Befunde,
• Empfehlungen und fachliche Einschätzungen.

Dokumenten- und Signaturdaten

• hochgeladene Dokumente,
• erzeugte Berichte,
• unterschriebene Dokumente,
• Unterschriften,
• Zeitpunkt und Status von Signaturvorgängen.

Kommunikationsdaten

• versandte Anamneselinks,
• Angaben aus digitalen Anamnesebögen,
• Kommunikations- und Zustellinformationen,
• Antworten und Eingaben von Patienten.

Freigegebene Tracker-Daten

Bei Nutzung einer dafür vorgesehenen Patienten-App oder Schnittstelle können – nach entsprechender Freigabe – beispielsweise aggregierte Informationen aus folgenden Bereichen verarbeitet werden:

• Schlaf,
• Energie,
• Symptome,
• Vitalwerte,
• Aktivität,
• PEM- bzw. Belastungsereignisse.

Welche Datenbereiche freigegeben werden, richtet sich nach der jeweiligen technischen Integration und den Entscheidungen der betroffenen Person.

10. Digitale Anamnese

Praxen können über Centi digitale Anamnesebögen bereitstellen.

Patienten können diese beispielsweise über einen Link oder QR-Code aufrufen und Angaben unmittelbar digital übermitteln.

Die hierbei eingegebenen Informationen werden der jeweiligen Praxis zugeordnet und in deren Auftrag verarbeitet.

Die MS Nucleus GmbH verwendet diese Angaben nicht für eigene medizinische oder werbliche Zwecke.

Verantwortlicher für die Anamnese und die Festlegung ihrer Inhalte und Rechtsgrundlage ist die jeweilige Praxis.

11. Laborberichte und automatisierte Datenextraktion

Centi ermöglicht Praxen, Laborberichte und andere Gesundheitsdokumente hochzuladen und die enthaltenen Informationen automatisiert zu erfassen und strukturiert darzustellen.

Dabei können insbesondere folgende Verarbeitungsschritte erfolgen:

• Upload eines Dokuments,
• optische Zeichenerkennung (OCR),
• Extraktion von Laborparametern,
• Zuordnung von Einheiten und Referenzbereichen,
• Strukturierung der Daten,
• Darstellung von zeitlichen Verläufen,
• Erstellung oder Unterstützung von Gesundheitsberichten.

Für OCR-, Analyse- oder KI-Funktionen können spezialisierte technische Auftragsverarbeiter eingesetzt werden.

Diese Anbieter dürfen Patientendaten ausschließlich im Rahmen unserer Weisungen und entsprechend den mit ihnen geschlossenen Datenschutzvereinbarungen verarbeiten.

Patienten- und Gesundheitsdaten werden von uns nicht zum Training allgemein verfügbarer KI-Modelle verwendet.

12. KI-gestützte Funktionen und medizinische Scores

Centi kann automatisierte Funktionen zur Strukturierung, Zusammenfassung oder Analyse von Informationen sowie zur Berechnung von Scores oder anderen Kennwerten bereitstellen.

Diese Funktionen dienen der Unterstützung des jeweiligen Praxisnutzers.

Die fachliche Bewertung, Interpretation und Entscheidung verbleibt bei der behandelnden bzw. betreuenden Person.

Centi trifft keine ausschließlich automatisierten Entscheidungen über Patienten, die diesen gegenüber rechtliche Wirkung entfalten oder sie in vergleichbarer Weise erheblich beeinträchtigen.

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet daher grundsätzlich nicht statt.

13. Elara-Anbindung und Tracker-Daten

Centi kann mit der Elara Health App verbunden werden.

Eine Verbindung wird nur hergestellt, wenn die betroffene Person die Verbindung aktiv herstellt bzw. bestätigt.

Soweit technisch vorgesehen, kann sie zusätzlich auswählen, welche Datenbereiche für die jeweilige Praxis freigegeben werden.

Dabei können insbesondere aggregierte Informationen aus folgenden Bereichen übertragen werden:

• Schlaf,
• Energie,
• Vitalwerte,
• Symptome,
• PEM- bzw. Belastungsinformationen.

Nicht freigegebene Datenbereiche werden der Praxis nicht zur Verfügung gestellt.

Eine erteilte Freigabe kann im Rahmen der vorgesehenen Funktionen widerrufen werden. Nach Beendigung der Freigabe werden keine weiteren Daten aus dem betreffenden Bereich an Centi bzw. die verbundene Praxis übermittelt.

Für die Verarbeitung der Daten innerhalb der Elara Health App gelten ergänzend die Datenschutzinformationen von Elara Health.

14. Rechtsgrundlagen für Patientendaten

Die jeweilige Praxis ist als Verantwortlicher dafür verantwortlich, eine geeignete Rechtsgrundlage für die Verarbeitung personenbezogener Daten ihrer Patienten festzulegen.

Dies betrifft insbesondere:

• eine Rechtsgrundlage nach Art. 6 DSGVO sowie
• bei Gesundheitsdaten zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO.

Welche konkrete Rechtsgrundlage einschlägig ist, hängt insbesondere von Art der Praxis, Berufsgruppe, Behandlungssituation, Zweck der Datenverarbeitung und gegebenenfalls erteilten Einwilligungen ab.

MS Nucleus legt diese Rechtsgrundlage nicht für die Praxis fest, sondern verarbeitet Patientendaten auf Grundlage des Auftrags der jeweiligen Praxis gemäß Art. 28 DSGVO.

Teil C – Dienstleister und technische Infrastruktur

15. Auftragsverarbeiter und Unterauftragsverarbeiter

Für den Betrieb von Centi setzen wir spezialisierte technische Dienstleister ein.

Hierzu können insbesondere Anbieter aus folgenden Bereichen gehören:

• Hosting und Cloud-Infrastruktur,
• Datenbanken und Authentifizierung,
• Datei- und Dokumentenspeicherung,
• OCR- und KI-Verarbeitung,
• E-Mail- und Kommunikationsinfrastruktur,
• Fehleranalyse und IT-Sicherheit.

Soweit diese Anbieter personenbezogene Daten in unserem Auftrag verarbeiten, werden sie auf Grundlage von Vereinbarungen gemäß Art. 28 DSGVO eingesetzt.

Für die Verarbeitung von Patientendaten fungieren diese Anbieter regelmäßig als Unterauftragsverarbeiter.

Eine aktuelle Liste der für die Verarbeitung von Patientendaten eingesetzten Unterauftragsverarbeiter wird Praxen im Rahmen der Vereinbarung zur Auftragsverarbeitung bzw. der dazugehörigen Unterlagen zur Verfügung gestellt.

Die primäre Speicherung von Centi-Patientendaten erfolgt nach der aktuellen technischen Konfiguration in einer europäischen Rechenzentrumsregion.

16. Datenübermittlungen außerhalb des EWR

Wir bevorzugen für die Verarbeitung von Gesundheits- und Patientendaten Infrastruktur innerhalb des Europäischen Wirtschaftsraums.

Eine Verarbeitung ausschließlich innerhalb des EWR kann jedoch nicht für sämtliche technischen Dienstleister und sämtliche Metadaten pauschal garantiert werden.

Soweit personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt oder dort verarbeitet werden, erfolgt dies nur unter den gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO.

Als Grundlage können insbesondere dienen:

• ein Angemessenheitsbeschluss der Europäischen Kommission,
• geeignete Garantien,
• EU-Standardvertragsklauseln,
• oder andere gesetzlich vorgesehene Transfermechanismen.

Teil D – Cookies, Analyse und Fehlerdiagnose

17. Cookies und lokale Speichertechnologien

Centi unterscheidet zwischen der öffentlichen Website und dem geschützten Centi-Dashboard.

Centi-Dashboard

Im Dashboard werden technisch notwendige Cookies bzw. vergleichbare Technologien insbesondere für Login, Authentifizierung, Sitzungsverwaltung und Sicherheitsfunktionen eingesetzt.

Soweit der Zugriff auf Informationen im Endgerät für die Bereitstellung eines ausdrücklich gewünschten digitalen Dienstes unbedingt erforderlich ist, erfolgt dieser nach § 25 Abs. 2 TDDDG ohne gesonderte Einwilligung.

Öffentliche Website

Auf der öffentlichen Website können zusätzlich Analyse-Technologien eingesetzt werden.

Nicht technisch erforderliche Cookies oder vergleichbare Technologien werden nur nach entsprechender Einwilligung eingesetzt.

Die Einwilligung kann jederzeit über die Cookie-Einstellungen geändert oder widerrufen werden.

18. PostHog

Auf unserer öffentlichen Website nutzen wir PostHog zur Analyse der Nutzung unseres Online-Angebots.

Dabei können insbesondere folgende Informationen verarbeitet werden:

• Seitenaufrufe,
• Klicks,
• Browserinformationen,
• Geräteinformationen,
• IP- bzw. Netzwerkdaten,
• Interaktionen mit der Website.

PostHog wird für nicht notwendige Analysen nur aktiviert, wenn Sie zuvor eingewilligt haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG, soweit auf Informationen Ihres Endgeräts zugegriffen oder solche Informationen dort gespeichert werden.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.

19. Fehleranalyse und Sentry

Zur Erkennung und Analyse technischer Fehler können wir Sentry, einen Dienst von Functional Software, Inc., einsetzen.

Dabei können insbesondere technische Informationen verarbeitet werden, beispielsweise:

• Gerätetyp,
• Browser,
• Betriebssystem,
• Zeitpunkt des Fehlers,
• technische Fehler- und Diagnosedaten.

Der Einsatz dient der Stabilität und Sicherheit unseres Online-Angebots.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Unser berechtigtes Interesse besteht in der Erkennung und Behebung technischer Fehler und der Gewährleistung einer sicheren Plattform.

Teil E – Speicherdauer und Sicherheit

20. Speicherdauer

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist.

Website- und technische Daten

Technische Protokoll- und Sicherheitsdaten werden nur für den Zeitraum gespeichert, der zur Sicherstellung des Betriebs und zur Erkennung von Sicherheitsvorfällen erforderlich ist.

Account- und Vertragsdaten

Daten eines Praxisaccounts werden grundsätzlich für die Dauer des Vertragsverhältnisses verarbeitet.

Einzelne Vertrags-, Abrechnungs- oder Geschäftsdaten können darüber hinaus gespeichert werden, soweit gesetzliche Aufbewahrungsfristen bestehen.

Patientendaten

Patientendaten werden grundsätzlich so lange verarbeitet, wie der jeweilige Praxisaccount besteht oder bis die Praxis die betreffenden Daten löscht.

Nach Beendigung des Vertragsverhältnisses werden Patientendaten entsprechend dem vereinbarten Löschkonzept gelöscht. Soweit keine andere Weisung oder gesetzliche Pflicht entgegensteht, erfolgt die Löschung der produktiven Patientendaten spätestens innerhalb von 30 Tagen nach Vertragsende.

Sicherheitskopien werden im Rahmen des technisch vorgesehenen Backup- und Löschzyklus überschrieben bzw. gelöscht.

21. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um personenbezogene Daten vor Verlust, unbefugtem Zugriff, Veränderung oder Offenlegung zu schützen.

Hierzu gehören abhängig vom jeweiligen Verarbeitungsvorgang insbesondere:

• verschlüsselte Datenübertragung,
• Verschlüsselung gespeicherter Daten,
• Authentifizierungs- und Zugriffskontrollen,
• Berechtigungs- und Rollenkonzepte,
• technische Protokollierung sicherheitsrelevanter Vorgänge,
• Datensicherung,
• Maßnahmen zur Sicherstellung der Verfügbarkeit und Integrität der Systeme,
• organisatorische Beschränkung von Zugriffsrechten.

Auf Patientendaten erhalten nur Personen Zugriff, die diesen Zugriff zur Erfüllung ihrer jeweiligen Aufgaben benötigen und hierzu berechtigt sind.

Teil F – Rechte betroffener Personen

22. Ihre Datenschutzrechte

Soweit die jeweiligen gesetzlichen Voraussetzungen erfüllt sind, haben betroffene Personen insbesondere folgende Rechte:

• Auskunft gemäß Art. 15 DSGVO
• Berichtigung gemäß Art. 16 DSGVO
• Löschung gemäß Art. 17 DSGVO
• Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
• Datenübertragbarkeit gemäß Art. 20 DSGVO
• Widerspruch gemäß Art. 21 DSGVO
• Widerruf einer Einwilligung gemäß Art. 7 Abs. 3 DSGVO

Der Widerruf einer Einwilligung berührt die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht.

23. An wen richten Patienten ihre Datenschutzanfrage?

Bei Patientendaten innerhalb eines Centi-Praxisaccounts ist grundsätzlich die jeweilige Praxis Verantwortlicher.

Patienten sollten sich daher mit Anfragen zu Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch grundsätzlich an die Praxis wenden, bei der ihre Daten verarbeitet werden.

Erhalten wir als Auftragsverarbeiter eine Anfrage unmittelbar von einem Patienten, unterstützen wir die verantwortliche Praxis entsprechend unseren gesetzlichen und vertraglichen Pflichten bei der Bearbeitung der Anfrage.

Für Daten, die MS Nucleus selbst als Verantwortlicher verarbeitet, können Sie sich unmittelbar an frederik@centi-health.de wenden.

24. Beschwerderecht

Betroffene Personen haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für die MS Nucleus GmbH zuständige Aufsichtsbehörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin
E-Mail: mailbox@datenschutz-berlin.de

Betroffene Personen können sich grundsätzlich auch an eine andere nach der DSGVO zuständige Aufsichtsbehörde wenden.

25. Keine Nutzung von Patientendaten für Werbung oder KI-Training

Patientendaten, die im Auftrag einer Praxis innerhalb von Centi verarbeitet werden, werden von MS Nucleus nicht:

• für personalisierte Werbung verwendet,
• an Datenhändler verkauft,
• für Werbeprofile genutzt,
• für eigene medizinische Behandlungsentscheidungen verwendet,
• oder zum Training allgemein verfügbarer KI-Modelle eingesetzt.

Eine Verarbeitung erfolgt ausschließlich zur Bereitstellung der von der Praxis beauftragten Centi-Funktionen und im Rahmen der jeweiligen Vereinbarung zur Auftragsverarbeitung.

26. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich rechtliche Anforderungen, technische Verfahren oder die Funktionen von Centi ändern.

Die jeweils aktuelle Fassung ist auf www.centi-health.de verfügbar.

Bei wesentlichen Änderungen, die registrierte Nutzer oder die Verarbeitung von Patientendaten betreffen, informieren wir in geeigneter Weise, beispielsweise innerhalb der Plattform oder per E-Mail.