Datenschutzinformation Vitalparameter-Fernüberwachungssystem

Der Schutz Ihrer Privatsphäre ist der Cosinuss GmbH (im Folgenden “cosinuss°” oder “Unternehmen” genannt) sehr wichtig. Diese Datenschutzerklärung beschreibt den Umgang von cosinuss° mit Daten im Rahmen seiner Lösung zur Vitalparameter-Fernüberwachung. Im Rahmen dieser Lösung bietet cosinuss° mobile und tragbare Sensoren zur Erfassung von Vitalparametern, stationäre Gateway-Geräte zum Empfang und zur Weiterleitung der erfassten Daten und eine Server-basierte Web-Applikation an, um die Daten zu visualisieren und zu managen. Mit diesen Komponenten zusammen ermöglicht cosinuss° die Erfassung, Verarbeitung und den Zugang zu Vitaldaten von Individuen aus der Ferne (im Folgenden “Vitalparameter-Fernüberwachungssystem” genannt).

cosinuss° stellt damit eine Ende-zu-Ende-Lösung zur Verfügung, die es Personen/Institutionen ermöglicht, Vitaldaten einer ausgewählten Gruppe von Personen (im Folgenden “Datensubjekte” oder “betroffene Personen” genannt) aus der Ferne zu überwachen. cosinuss° hat mit diesem System zur Fernüberwachung von Vitaldaten weder die Absicht noch die Motivation, personenbezogene Daten oder Gesundheitsdaten an unbeteiligte Dritte zu verkaufen oder zu übermitteln.

cosinuss° verkauft sein Vitalparameter-Fernüberwachungssystem und die Dienstleistung zu dessen Betrieb an Einzelpersonen/Unternehmen/Organisationen (im Folgenden “Verantwortlicher”, “verantwortliche Stelle” oder “Auftraggeber” genannt).

cosinuss° verarbeitet personenbezogene Daten beim Betrieb des Vitalparameter-Fernüberwachungssystems nur nach dokumentierten Weisungen des Auftraggebers und nur in dem Umfang, der zur Erfüllung der Verpflichtungen aus einem zuvor abgeschlossenen Hauptvertrag und einer Datenverarbeitungsvereinbarung erforderlich ist, es sei denn, die Verarbeitung ist nach dem Recht der EU oder eines Mitgliedstaates, dem cosinuss° unterliegt, erforderlich. In diesem Fall muss cosinuss° den Auftraggeber vor der Verarbeitung über diese gesetzliche Vorschrift informieren, es sei denn, das Gesetz verbietet diese Benachrichtigung aus wichtigen Gründen des öffentlichen Interesses (siehe Allgemeine Datenschutzverordnung Artikel 28, Abschnitt 3, Absatz a).

Die Datenverarbeitungsvereinbarung ist Teil der Weisungen des Auftraggebers an cosinuss°. cosinuss° verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen und darf die personenbezogenen Daten nur dann für eigene Zwecke, insbesondere zur Verbesserung des Angebots, verwenden, wenn hierzu die vorherige schriftliche Einwilligung des Verantwortlichen vorliegt.

Der Auftraggeber ist allein für die Erhebung solcher personenbezogenen Daten verantwortlich, die eine direkte Identifizierung der Datensubjekte ermöglichen (z.B. Name, Adresse, E-Mail). Der Auftraggeber ist somit auch stets für die Lieferung der Komponenten (Sensoren, Gateways) des Vitalparameter-Fernüberwachungssystems an die betroffenen Personen verantwortlich. Zu keinem Zeitpunkt verfügt cosinuss° über direkt identifizierende personenbezogene Daten der betroffenen Personen.

Der Auftraggeber hat zusätzlich Zugriff auf die von cosinuss° erhobenen und verarbeiteten Gesundheitsdaten über die Web-Applikation oder einer Programmierschnittstelle (API) des Vitalparameter-Fernüberwachungssystems.

cosinuss° erhebt im Rahmen seiner Fernüberwachungslösung Gesundheitsdaten und andere nachfolgend beschriebene Metadaten von pseudonymisierten Personen.

Die Erfassung von Metadaten ist notwendig, um ein Pseudonym mit einem Datenstrom verbinden zu können und um mögliche Probleme durch Kenntnis der jeweiligen Firmware-Version der einzelnen Komponenten beheben zu können. Informationen über den Batteriestand werden benötigt, um der betroffenen Person und dem Auftraggeber die Notwendigkeit des Aufladens des Sensorgeräts zu signalisieren und damit das laufende Angebot zu gewährleisten. Informationen über die Qualität werden benötigt, um dem Verantwortlichem anzeigen zu können, welche Gesundheitsdaten zuverlässig sind und welche hinterfragt werden sollten.

Die gesammelten Rohdaten sind die Daten, die zur Berechnung der Vitalparameter (Herzfrequenz, Blutsauerstoffsättigung, Körperkerntemperatur und Atmungsrate) benötigt werden. Zusätzlich werden sie verwendet, um weitere Parameter wie RR-Intervalle, Perfusion und Herzfrequenzvariabilität abzuleiten. Diese werden dem Auftraggeber, wenn benötigt, zusätzlich berechnet und zur Verfügung gestellt.

Wenn es im Datenverarbeitungsvertrag vereinbart ist, können weitere Verarbeitungen von abgeleiteten Parametern auf dem Server durchgeführt werden, um den Hauptzweck zu erfüllen. Ein Beispiel für eine solche Verarbeitung ist die Berechnung des Deviation Score (DS).

Wenn die Lösung zur Fernüberwachung der Vitalparameter eine mobile App beinhaltet, die auf einem Android-Mobilgerät läuft, kann cosinuss° Zugriff auf den groben Standort der Person haben. Dies ist auf die Bluetooth-Verbindung auf dem Android-System zurückzuführen: Wenn der Benutzer Bluetooth aktiviert, um sich mit dem cosinuss° Sensor zu verbinden, zwingt Android den Benutzer dazu, auch “Standorte” zu aktivieren. Diese Verpflichtung kommt von Android, nicht von cosinuss°. cosinuss° sammelt oder verwendet diese Daten nicht.

cosinuss° erhebt, verarbeitet und speichert die oben aufgeführten Daten zur Erfüllung des mit dem jeweiligen Verantwortlichen festgelegten Zwecks. Die erhobenen und verarbeiteten Daten werden auf Servern mit Sitz in Nürnberg bei der Hetzner Online GmbH gespeichert. Die Hetzner Online GmbH ist ein Unterauftragsverarbeiter von cosinuss° und ein TÜV-geprüfter und DSGVO-konformer Serverprovider. cosinuss° hat mit Hetzner einen Datenverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen.

Soweit nicht ausdrücklich anders vereinbart, werden cosinuss° personenbezogene Daten bei Beendigung der Datenverarbeitung im Rahmen des Hauptvertrages mit dem Auftraggeber oder nach schriftlicher Aufforderung dieser zurückgegeben und/oder gelöscht.

cosinuss° stellt sicher, dass nur Mitarbeiter, Unterauftragsverarbeiter, Geschäftspartner, externe Berater und Leiharbeitnehmer etc., die Gegenstand des Datenverarbeitungsvertrages sind, Zugang zu den personenbezogenen Daten haben, und dass sie alle zur beruflichen Verschwiegenheit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterstehen.

Wenn cosinuss° in den Verkauf oder die Übertragung einiger oder aller seiner Vermögenswerte involviert ist, können personenbezogene Daten an die erwerbende Organisation weitergegeben werden, jedoch nur in einem gesetzlich zulässigen Umfang. In diesem Prozess wird die erwerbende Organisation angewiesen, sich zu verpflichten, den Schutz der persönlichen Daten in einer Weise zu gewährleisten, die mit dieser Erklärung und dem geltenden Recht übereinstimmt.

cosinuss° setzt wirtschaftlich angemessene und geeignete physische, elektronische und verwaltungstechnische Verfahren ein, um die erhobenen personenbezogenen Daten zu schützen und zu sichern. Wann immer Gesundheitsdaten übertragen werden, werden sie verschlüsselt. Selbst wenn das Übertragungsprotokoll von unbefugten Dritten eingesehen wird, können diese die übermittelten Informationen nicht nutzen. Dennoch kann cosinuss° Sicherheits- und/oder Datenschutzrisiken im Zusammenhang mit personenbezogenen Daten, die unter Verwendung des Internets und von Internet-Technologien erstellt, gespeichert oder übertragen werden, nicht vollständig ausschließen. cosinuss° haftet als Datenverarbeiter nicht für eine Verletzung, unbefugte Offenlegung oder unrechtmäßige Verwendung von personenbezogenen Daten oder Gesundheitsdaten, die sich zum Zeitpunkt der Verletzung unter der Kontrolle des Auftraggebers befanden.

cosinuss° erhebt und verarbeitet nur Daten von pseudonymisierten Betroffenen und beschränkt den Zugriff auf diese Daten auf die berechtigten Personen, die davon Kenntnis haben müssen und zur Vertraulichkeit verpflichtet sind.

Bei der Datenübertragung über Bluetooth LE wird eine Verkehrsverschlüsselung eingesetzt. Zusätzlich bietet cosinuss° einen 1-1 Pairing-Modus inklusive Authentifizierung an.

Das Hypertext Transfer Protocol Secure nutzt die neuesten TLS-Zertifikate, um eine sichere Kommunikation im World Wide Web zu gewährleisten. Außerdem schützen der Advanced Encryption Standard (AES) und Blockchiffren die Datenübertragung gemäß der höchsten Klassifizierung. HTTPS wird sowohl in der Web-Applikation als auch zwischen Gateway und Server verwendet.

Die Server befinden sich in zwei verschiedenen Rechenzentren (Nürnberg & Falkenstein / Deutschland) der Hetzner Online GmbH.

Die Hetzner Online GmbH hat ihre Geschäftsadresse in der Industriestraße 25, 91710 Gunzenhausen und ist zertifiziert nach DIN ISO/IEC 27001. cosinuss° hat einen Datenverarbeitungsvertrag mit Hetzner, gemäß der Art. 28 GDPR

- Redundante Datenspeicherung in verschiedenen Rechenzentren.

- Videoüberwachter Hochsicherheitszaun um den gesamten Rechenzentrumspark.

- Zugang nur über Zutrittskontrollterminals mit Transponder oder Zugangskarten.

- Modernste Überwachungskameras zur 24/7-Überwachung von Zufahrten, Eingängen, Sicherheitsschleusen und Serverräumen.

- Modernes Brandfrüherkennungssystem mit direkter Anbindung an die örtliche Feuerwehr.

- Redundante Web-Dienste, die in verschiedenen Rechenzentren laufen.

- Notstromversorgung.

- Redundante USV-Systeme.

- Batteriebetrieb: ca. 15 Minuten.

- Temperaturüberwachung von Raumluft und in Server-/Verteilerschränken.

- DDOS-Schutz.

- Unterdrückung von Botnet-Kommunikation.

Eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) ist nach der DSGVO immer dann erforderlich, wenn Sie ein neues Projekt beginnen, das wahrscheinlich ein “hohes Risiko” für die personenbezogenen Daten anderer Personen beinhaltet. Bei der Fernüberwachung von Vitalparametern kann dies der Fall sein, wenn die Art der Verarbeitung im Besonderen ist:

- Verwendung neuer Technologien

- Verfolgung des Verhaltens von Personen

- Verarbeitung von Daten über die Gesundheit

- Verarbeitung für automatische Entscheidungen

- Verarbeitung von Daten von Kindern

cosinuss° empfiehlt, vor Beginn jeglicher Datenverarbeitungsaktivitäten eine DPIA vorzubereiten. Idealerweise sollte die Datenschutzfolgenabschätzung vor und während der Planungsphase eines neuen Projektes durchgeführt werden. Wenn Sie einen Datenschutzbeauftragten haben, müssen Sie sich während des gesamten Verlaufs der Datenschutzfolgenabschätzung mit dieser Person und allen anderen wichtigen am Projekt beteiligten Personen beraten.

Die DPIA sollte die folgenden Elemente enthalten:

- Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, einschließlich, falls zutreffend, des berechtigten Interesses des Verantwortlichen.

- Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf die Zwecke.

- Eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen.

Um die Lösung zur Fernüberwachung von Vitaldaten optimal nutzen zu können, halten alle Verantwortlichen ihre Informationen korrekt, aktuell und vollständig, indem sie sich regelmäßig gegenseitig aktualisieren. Wenn Sie Fragen, Kommentare oder Bedenken zu dieser Datenschutzrichtlinie haben, wenden Sie sich bitte an unseren Datenschutzbeauftragten:

Cosinuss GmbH

Kistlerhofstraße 60,

81379 München,

Deutschland

Tel.: +49 89 740 418 32

E-Mail: dataprivacy@cosinuss.com