Datenschutzerklärung myMedax Anwendung

Zweckbestimmung und allgemeine Information

Das Datenerfassungs- und Dokumentationssystem „myMedax“ der SUXEDO GmbH & Co KG unterstützt den Anwender dabei, Daten digital zu erfassen und zu dokumentieren, die oft in Papierform abgefragt wurden, unabhängig vom Zweck der Daten.

myMedax kann in unterschiedlichsten Anwendungsszenarien und verschiedensten Branchen eingesetzt werden.

Neben der allgemeinen Verwendung in diversen Branchen wird myMedax speziell im Bereiche Healthcare/Medizin eingesetzt.

Zweckbestimmung Allgemein:

Beispielanwendung sind die Erfassung und Dokumentation von Informationen unterschiedlichster Art.

Von einfachen Datenerhebungen wie z.B. im Qualitätsmanagement und der Bewertung von Sachständen durch Kunden/Benutzer/Anwender über Befragungen in Form von individuell generierbaren Fragebögen im Rahmen von Beratungen unterschiedlichster Art bis hin zu komplexen Auditierungen mit Erzeugung automatisierter Ergebnis- und Auditberichte bietet myMedax ein breites Spektrum an Möglichkeiten.

Ein Modul zur digitalen Signatur (Fortgeschrittene elektronische Signatur FES) zur Bestätigung durch ausfüllende Personen kann ergänzend aktiviert werden.

Durch ein Scoringsystem und ein Formularmodul kann eine Summierung der Werte durchgeführt und in einem Bericht ausgegeben werden. Die Einzelwerte als auch Formel-Ergebnisse des Scorings werden dem Benutzer komplett transparent zur Verfügung gestellt, damit eine Bewertung unabhängig vom System durch den Benutzer und dessen individuelle und branchenbezogene Sach- und Fachkenntnis durchgeführt werden kann.

Die bei der Ausfüllung von Fragebogenvorlagen erhobenen Daten können, abhängig vom jeweiligen Szenario des myMedax einsetzenden Kunden und dessen Klassifizierungsentscheidungen, auch personenbezogene Informationen beinhalten, welche entsprechend klassifiziert und DSGVO-konform verarbeitet werden. Das durch den Kunden individuelle konfigurierbare Speicher- und Löschkonzept trägt dem Rechnung.

Ausfüllungen von Fragebögen als auch die möglichen Auswertungen können über eine Pseudonymisierungs– als auch eine Anonymisierungs-Funktion komplett ohne Personenbezug durchgeführt und erstellt werden.

Zweckbestimmung HealthCare:

Beispielanwendungen sind die reine Erfassung und Dokumentation der Krankheitsgeschichte (Anamnese) von Patienten, die Datenerfassung von Bewertungen im Rahmen des Qualitätsmanagements, sowie die digitale Erfassung und Signatur von Einwilligungserklärungen.

myMedax bietet dabei keine Entscheidungsunterstützung: Der Anwender entscheidet in Folge seiner Fach- und Sachkenntnis persönlich und unabhängig, ob er die bereitgestellten Informationen für seine weiteren Tätigkeiten verwerten möchte.

Auswertungen finden lediglich als interne Statistiken über Anzahl ausgefüllter Fragebögen zur Nutzungsanalyse oder als pseudonymisierte oder anonymisierte Statistiken zur Häufigkeit bspw. gegebener Antworten statt.

myMedax ist NICHT dazu bestimmt, automatisiert oder ohne die erforderliche Fach- und Sachkenntnis medizinische Entscheidungen zu treffen oder Maßnahmen für und während Behandlungen von Patienten zu ergreifen.

Die als Software-Modul freischaltbare potentielle Vergabe von Punkten für Antworten und die automatische Berechnung der Summe dieser Punkte führt zu keinerlei Bewertung der erfassten Daten sondern stellt vergleichbar der Summen-Formel in Microsoft Excel lediglich eine Summierungsfunktion dar. Eine Ergebnisklassifikation oder -bewertung findet durch myMedax nicht statt. Es ist lediglich das Äquivalent zu auf Papierfragebögen ebenfalls bereits erfasster Punkte.  

myMedax ist kein Medizinprodukt im Sinne der EU Richtlinie 93/42/EWG, die zuletzt durch die Richtlinie 2007/47/EG geändert wurde.

Allgemeine Information
Die SUXEDO GmbH & Co. KG bietet ihren Kunden die Möglichkeit, myMedax auf eigener IT-Infrastruktur einzurichten oder als Cloudlösung zu beziehen. Entscheidet sich der Kunde für eine Cloudlösung, so hostet SUXEDO Server auf eigener Hardware und ausschließlich im deutschen Rechenzentrum.

Bei Nutzung der Cloudlösung wird für jeden Kunden auf den Servern der SUXEDO eine eigene verschlüsselte Instanz eingerichtet. Der Zugriff auf den Container erfolgt mit einem durch den Kunden individuell festlegbaren Passwort. Alle weiteren Zugriffe innerhalb der Instanz werden über das Benutzer- und Rechtemanagement in der myMedax Kundeninstanz kontrolliert. Der Kunde hat hierzu einen administrativen Zugriff, der es Ihm ermöglicht, weitere Benutzer mit individuellen Rechten anzulegen.

Datenschutzerklärung für Applikation Server, iOS und Android mobile App

Als Softwareentwickler versteht sich SUXEDO besonders dem Datenschutz seiner Kunden, Interessenten, Geschäftspartner und Mitarbeiter verpflichtet. SUXEDO versteht ein überobligatorisches Datenschutzniveau aus ihrer gesellschaftlichen Verantwortung heraus als zwingend. Die Datenschutzrichtlinie beruht auf den durch das Unternehmen für unumstößlich erachteten Grundprinzipien zum Datenschutz.

Der Schutz personenbezogener Daten hat für SUXEDO einen hohen Stellenwert. SUXEDO verpflichtet sich, den Schutz und die Sicherheit der verarbeiteten personenbezogenen Daten stets sicherzustellen, um die Vertraulichkeit dieser Daten zu sichern und sie vor Diebstahl, Beschädigung, Zerstörung oder Weitergabe an Unbefugte zu schützen.

Die Wahrung des Datenschutzes ist eine Basis für vertrauensvolle Geschäftsbeziehungen und die Reputation des Unternehmens als attraktiver Arbeitgeber. Die Datenschutzrichtlinie regelt das Selbstverständnis des Unternehmens im Umgang mit den personenbezogenen Daten Dritter und stellt eine Ergänzung bestehender Compliance Standards dar. Durch die Verabschiedung der Richtlinie wird im gesamten Unternehmen ein einheitlicher Umgang in Bezug auf den Datenschutz und insbesondere ein kundenorientiertes Handeln in Bezug auf Auskunftsrechte der Betroffenen gewährleistet.

Diese Datenschutzrichtlinie gilt für die SUXEDO GmbH & Co. KG und deren Mitarbeiter.

Die Datenschutzrichtlinie erstreckt sich auf sämtliche Verarbeitungen personenbezogener Daten. Personenbezogene Daten sind alle Informationen über eine bestimmte oder bestimmbare natürliche Person.
Die Verarbeitung personenbezogener Daten ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang beispielsweise zur Speicherung, Strukturierung, Veränderung, Sperrung, Löschung, Abfrage, Weitergabe und Übermittlung, Verbreitung oder der Abgleich von Daten.

Diese Datenschutzrichtlinie ergänzt das durch bestehende Gesetze vorgegebene Datenschutzniveau und verpflichtet das Unternehmen zur Einhaltung von Standards im Datenschutz, die sich an der EU Datenschutzgrundverordnung und dem Bundesdatenschutzgesetz (neu) orientieren.

SUXEDO ergreift angemessene physische, elektronische und prozessbezogene Sicherheitsvorkehrungen, um personenbezogene Daten vor Verlust, Missbrauch und Zugriff Unbefugter, Weitergabe, Veränderung und Zerstörung zu schützen. Die Maßnahmen entsprechen jederzeit dem aktuellen Stand der Technik und werden stetig angepasst.

SUXEDO gewährleistet ebenso, dass durch organisatorische, personelle und technische Maßnahmen eine ordnungsgemäße Datenverarbeitung unter Beachtung des Datenschutzes sichergestellt ist, und eine Kenntnisnahme durch Dritte ausgeschlossen werden kann.

Eine Übersicht der getroffenen technisch-organisatorischen Maßnahmen der SUXEDO GmbH erhält der Kunde im Rahmen des myMedax Nutzungsvertrages.

Die SUXEDO hat einen Datenschutzbeauftragten bestellt. Der Datenschutzbeauftragte kann zu allen Fragen des Datenschutzes kontaktiert werden.

RA Gregor Theado
Scheidter Str. 2
66123 Saarbrücken
E-Mail: sekretariat-theado@btl-recht.de

Jeder Verarbeitung von personenbezogenen Daten, unabhängig davon ob es sich um besonders schutzwürdige Daten nach Artikel 9 DSGVO handelt, liegt eine entsprechende Erwägung zu Grunde.

Die Grundsätze der Verarbeitung personenbezogener Daten richten sich nach Art. 5 DSGVO:

Daten werden nur dem Zweck angemessen und auf das notwendige Maß beschränkt erhoben.

Erhobene Daten müssen sachlich richtig sein

5.1​ Erhebung von personenbezogen Daten

Bei der Nutzung von myMedax werden personenbezogenen Daten erhoben. Im Rahmen der Nutzung von myMedax als lokale Installation ist der jeweilige Kunde für den Schutz der erhobenen Daten verantwortlich.

Wird myMedax in der Cloud auf den Servern der SUXEDO genutzt, so ist die SUXEDO GmbH & Co. KG Dienstanbieter gemäß Telemediengesetzt §13 sowie verantwortliche Stelle gemäß DSGVO.

5.2​ Wahrung der Betroffenenrechte

Werden personenbezogene Daten erhoben, so wird die betroffene Person nach Art. 13 DSGVO folgende Informationen mitgeteilt:

Die betroffene Person hat ebenso ein Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Übertragbarkeit.

5.2.1 Recht auf Auskunft

Jede betroffene Person hat ein Recht darauf, vom Verantwortlichen zu erfahren, welche sie betreffenden Daten zu welchem Zweck für welchen Zeitraum verarbeitet werden. (Art. 15 DSGVO)

5.2.2 Recht auf Berichtigung

Sind verarbeitete Daten zu einer betroffenen Person nicht korrekt und / oder nicht vollständig, so hat die betroffene Person das Recht auf Berichtigung oder Ergänzung dieser Daten. (Art. 16 DSGVO)

5.2.3 Recht auf Löschung

Jede betroffene Person hat ein Recht auf Löschung der zu ihr verarbeiteten Daten. Das Recht auf Löschung kann sie beim Verantwortlichen geltend machen, sofern keine gesetzliche Aufbewahrungspflicht für die betreffenden Daten vorliegt (Art. 17 DSGVO)

5.2.4 Recht auf Übertragbarkeit der Daten

Die betroffene Person hat das Recht darauf, die Daten, die sie dem Verantwortlichen zur Verfügung gestellt hat, in einem Strukturierten, maschinenlesbaren Format zu erhalten, um sie beispielsweise an einen anderen Verantwortlichen übermitteln zu können.

5.2.5 Recht auf Widerspruch

Der Betroffenen hat ein grundsätzliches Widerspruchsrecht gegen die Verarbeitung seiner Daten, das zu berücksichtigen ist, wenn sein schutzwürdiges Interesse aufgrund einer besonderen persönlichen Situation das Interesse an der Verarbeitung überwiegt. Dies gilt nicht, wenn eine Rechtsvorschrift zur Verarbeitung verpflichtet.

Im Rahmen der Nutzung von myMedax ist der jeweilige Kunde für die Einhaltung der Löschfristen erhobener Daten verantwortlich.

Unabhängig davon, ob myMedax auf den Servern des Kunden oder in der Cloud auf den Servern der SUXEDO installiert ist, unterstützt myMedax systemseitig mit individuell einstellbaren Löschfristen, sodass die Datensicherheit gewährleistet und eine DSGVO-konforme Umsetzung des Löschkonzeptes des Kunden auch für in myMedax erfasste Daten sichergestellt ist.

In der Regel ist myMedax an ein führendes Verwaltungssystem angeschlossen. Mit myMedax ausgefüllte Fragebögen werden so an dieses führende System weitergeleitet und dort entsprechend der Vorgaben des Systems und des Kunden gespeichert.

Die Benutzer-Stammdaten sowie die vom Benutzer während des Ausfüllvorgangs eingegebenen Daten und Dokumente werden ab der Zuweisung des Fragebogens an ein benanntes Endgerät bis zum Abschluss des Ausfüllvorgangs durch den Benutzer und die Übergabe an den myMedax Datenbankserver auf dem Endgerät gespeichert.

Eine Übermittlung von personenbezogenen Daten an Empfänger außerhalb des Unternehmens unterliegt den allgemeinen Zulässigkeitsvoraussetzungen der Verarbeitung personenbezogener Daten und erfolgt ausschließlich innerhalb der EU.

Übermittlung ist jede Bekanntgabe oder Weitergabe von geschützten Daten durch die verantwortliche Stelle an Dritte.

Der Empfänger der Daten muss darauf verpflichtet werden, diese nur zu den festgelegten Zwecken zu verwenden.

Dies gilt nicht, wenn die Übermittlung aufgrund einer gesetzlichen Verpflichtung erfolgt.

Eine Auftragsdatenverarbeitung liegt vor, wenn ein Auftragnehmer mit der Verarbeitung personenbezogener Daten beauftragt wird, ohne dass ihm die Verantwortung für den zugehörigen Geschäftsprozess übertragen wird. In diesen Fällen ist sowohl mit externen Auftragnehmern eine Vereinbarung über eine Auftragsdatenverarbeitung abzuschließen.

Dabei behält das beauftragende Unternehmen die volle Verantwortung für die korrekte Durchführung der Datenverarbeitung. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Bei der Erteilung des Auftrags sind die nachfolgenden Vorgaben einzuhalten:

Jeder Mitarbeiter soll seinem jeweiligen Vorgesetzten oder dem Beauftragten für den Datenschutz unverzüglich Fälle von Verstößen gegen diese Datenschutzrichtlinie oder andere Vorschriften zum Schutz personenbezogener Daten (Datenschutzpannen) melden. Datenschutzvorfälle sind alle Ereignisse, bei denen der begründete Verdacht besteht, dass personenbezogene Daten rechtswidrig ausgespäht, erhoben, verändert, kopiert, übermittelt oder genutzt wurden. Das kann sich sowohl auf Hand-lungen durch Dritte als auch Mitarbeiter beziehen.

Die für die Funktion oder die Einheit verantwortliche Führungskraft ist verpflichtet, den Beauftragten für den Datenschutz umgehend über Datenschutzpannen zu unterrichten. In Fällen von unrechtmäßiger Übermittlung personenbezogener Daten an Dritte, unrechtmäßigem Zugriff durch Dritte auf personenbezogene Daten oder bei Verlust personenbezogener Daten, sind die im Unternehmen vorgesehenen Meldungen unverzüglich vorzunehmen, damit nach staatlichem Recht bestehende Meldepflichten von Datenschutzpannen erfüllt werden können