1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Zusammenhang mit der App „mein cerascreen“ ist:

Telefon: +49 (0) 385 74139002

E-Mail: fragen@cerascreen.de

Datenschutzbeauftragter

Die Cerascreen GmbH hat einen externen Datenschutzbeauftragten benannt:

Für Datenschutzanfragen kann außerdem datenschutz@cerascreen.de verwendet werden.

2. Welche Daten verarbeitet die App?

Welche Daten wir verarbeiten, hängt davon ab, welche Funktionen der App Sie verwenden.

Hierzu können insbesondere folgende Kategorien personenbezogener Daten gehören:

3. Informationen beim Download der App

Beim Download der App werden bestimmte erforderliche Informationen an den von Ihnen ausgewählten App Store, beispielsweise Google Play oder den Apple App Store, übermittelt. Hierzu können insbesondere Nutzername, E-Mail-Adresse, Kundennummer des Accounts, Zeitpunkt des Downloads, Zahlungsinformationen sowie die individuelle Gerätekennziffer gehören.

Die Verarbeitung dieser Daten erfolgt ausschließlich durch den jeweiligen App Store und liegt außerhalb unseres Einflussbereichs.

4. Registrierung und Benutzerkonto

Für bestimmte Funktionen der App ist ein Benutzerkonto erforderlich.

Dabei können insbesondere Name, E-Mail-Adresse, Nutzer- bzw. Kunden-ID, Geburtsdatum sowie weitere Profilangaben verarbeitet werden.

Die Verarbeitung erfolgt zum Zwecke der Durchführung des durch die Registrierung begründeten Nutzungsverhältnisses und gegebenenfalls zur Anbahnung oder Durchführung weiterer Verträge.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen). Soweit darüber hinaus ein berechtigtes Interesse an einer sicheren und effizienten Bereitstellung und Verwaltung des Nutzerkontos besteht, kann Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

Die im Nutzerprofil hinterlegten Daten verbleiben grundsätzlich bei uns, bis Sie uns zur Löschung auffordern, Ihre Einwilligung zur Speicherung widerrufen oder der Zweck für die Datenspeicherung entfällt. Zwingende gesetzliche Aufbewahrungspflichten bleiben unberührt.

5. Aktivierung, Verwaltung und Abruf von Testergebnissen

Die App ermöglicht den Abruf und die Verwaltung von Testergebnissen.

Verarbeitungszwecke: Auftragserfüllung, Verwaltung der Laborwerte, Speicherung und Darstellung der Testberichte und Kundeninformationen.

Typische verarbeitete Daten:

• Test-ID
• Name
• Geburtsdatum
• Testtyp
• Testergebnisse
• Zustimmung zur Datenverarbeitung
• Zustimmung zur Forschungsnutzung
• optional: Geschlecht, Gewicht, Alter, Vorerkrankungen, aktuelle Erkrankungen und akute Beschwerden

Datenverarbeiter bzw. Empfänger: interne Teams, insbesondere Laborteam und IT-Team sowie gegebenenfalls Datenanalysten bei Zustimmung zur Forschungsnutzung, Gesundheitsbehörden und Systempartner.

Verarbeitungsort: Frankfurt, Deutschland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit Gesundheitsdaten verarbeitet werden, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 9 Abs. 2 lit. a DSGVO auf Basis der Einwilligung.

Für die Verwaltung, Speicherung und Bereitstellung von Labor- und Gesundheitsdaten nennt die bestehende Datenschutzerklärung my.Cera auf Heroku (Salesforce IaaS).

Speicherdauer: nach der bestehenden Datenschutzerklärung bis zur Löschung des Nutzerkontos oder bis zum Widerruf der Einwilligung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6. Gesundheitsdaten

Bestimmte Funktionen der App verarbeiten besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten im Sinne von Art. 9 DSGVO.

Hierzu können insbesondere gehören:

• Labor- und Testergebnisse
• Gesundheitsfragen
• Supplementeinnahmen
• Geschlecht, Gewicht und Alter
• Vorerkrankungen
• aktuelle Erkrankungen
• akute Beschwerden

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie für die Verarbeitung von Gesundheitsdaten Art. 9 Abs. 2 lit. a DSGVO auf Grundlage der erteilten Einwilligung.

7. Push-Benachrichtigungen

Die App ermöglicht Benachrichtigungen zu Gesundheitsinformationen sowie Statusinformationen.

Verarbeitungszwecke: Auftragserfüllung, Informationen zu relevanten Gesundheitsthemen sowie Informationen zum Auftragsstatus.

Typische verarbeitete Daten:

• Nutzerkennung
• Zustimmung zum Versand von Push-Informationen
• Datum, Art und Inhalt der versandten Information
• Bestell-ID
• Bestelldatum
• Versandmethode
• Bestellhistorie
• Produktkategorie der bestellten Produkte

Datenverarbeiter bzw. Empfänger: interne Teams, insbesondere IT, gegebenenfalls Datenanalysten, Marketing, Logistik und Qualitätsmanagement sowie Systempartner.

Verarbeitungsort: Frankfurt, Deutschland.

Rechtsgrundlage: Soweit Push-Benachrichtigungen zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich sind, Art. 6 Abs. 1 lit. b DSGVO. In den übrigen Fällen erfolgt die Verarbeitung auf Grundlage einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, soweit diese abgefragt wurde.

Technische Push-Dienste: Für Android verwenden wir Firebase Cloud Messaging (FCM) von Google; für iOS verwenden wir den Apple Push Notification service (APNs) von Apple. Hierfür werden technische Push- bzw. Registrierungstoken verwendet, damit Benachrichtigungen der jeweiligen App-Installation bzw. dem jeweiligen Gerät zugestellt werden können. Gesundheitsdaten und andere sensible Daten werden nicht zur technischen Geräteidentifikation durch diese Token verwendet.

8. Marktplatz, Bestellungen, Zahlungen und Versand

Über die App können Nutzer sich über Produkte informieren und diese kaufen.

Verarbeitungszwecke: Auftragserfüllung, Verwaltung des Online-Handels, Abwicklung von Kundenbestellungen, Risikobewertung und Zahlungen sowie Verwaltung der Marketing-Erlaubnis.

Typische verarbeitete Daten:

• Name
• E-Mail-Adresse
• Bestellstatus und Bestelldetails
• Transaktionsbeträge
• Versandkosten
• Rabatte und Gutscheine
• bei kostenpflichtigen Diensten gegebenenfalls Zahlungsinformationen
• Versand- und Rechnungsadressen
• Zustimmung zu Marketing

Empfänger: interne Teams, insbesondere Logistik, Marketing, IT, gegebenenfalls Kundendienst, Produktmanagement, Qualitätsmanagement und Management, sowie Zahlungsdienstleister, Logistikpartner und Systempartner.

Verarbeitungsort: Dublin, Irland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Bestell- und Vertragsabwicklung. Für gesetzlich vorgeschriebene Aufbewahrung und Rechnungslegung kann Art. 6 Abs. 1 lit. c DSGVO einschlägig sein. Soweit eine Verarbeitung darüber hinaus zur sicheren und effizienten Bereitstellung des Shop-Betriebs erforderlich ist, nennt die bestehende Datenschutzerklärung Art. 6 Abs. 1 lit. f DSGVO.

Shopify

Shopify International Limited, Dublin, Irland, wird für Bestellannahme, Zahlungsabwicklung und Verwaltung von Kundenkonten eingesetzt. Verarbeitet werden insbesondere Kontakt-, Bestell-, Liefer-, Zahlungs- und Nutzungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: bis zur Erfüllung des Zwecks oder Ablauf gesetzlicher Aufbewahrungsfristen.

Shopify kann Daten in Drittländer, insbesondere Kanada oder die USA, übermitteln. Die bestehende Datenschutzerklärung nennt hierfür EU-Standardvertragsklauseln.

OrderDesk

OrderDesk Inc., Idaho, USA, verarbeitet Bestelldaten zur Auftragsabwicklung, Versandorganisation und Erstellung von Lieferscheinen und Rechnungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: bis zur Abwicklung der Bestellung und Ablauf gesetzlicher Aufbewahrungsfristen.

Drittlandtransfer erfolgt laut bestehender Datenschutzerklärung auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.

9. App-Analyse und App-Aktivitäten

Zur Analyse der Nutzung unserer App verwenden wir Google Analytics. Dabei erfassen wir, welche Seiten bzw. Screens innerhalb der App aufgerufen werden und welche Funktionen Nutzer verwenden. Diese Informationen helfen uns zu verstehen, wie die App genutzt wird, und die Nutzerführung, Stabilität und Funktionen der App weiterzuentwickeln.

Für diese Analyse werden keine Gesundheitsdaten oder anderen sensiblen personenbezogenen Daten an Google Analytics übermittelt.

Abhängig von der technischen Konfiguration können für die Nutzungsanalyse außerdem technische Informationen wie App-Version, Betriebssystem, Geräteinformationen sowie App- oder Installationskennungen verarbeitet werden.

Rechtsgrundlage: Soweit für die App-Analyse eine Einwilligung eingeholt wird, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

Speicherdauer: App-Analytics-Daten werden nur so lange verarbeitet, wie dies für die Nutzungsanalyse erforderlich ist. Die technische Aufbewahrungsdauer von Nutzer- und Ereignisdaten richtet sich nach der in der jeweiligen Google-Analytics-Property konfigurierten Aufbewahrungsfrist. Google Analytics sieht für Standard-Properties insbesondere Aufbewahrungsfristen von 2 oder 14 Monaten vor.

10. Fehlerberichte, Diagnosedaten und App-Performance

Zur Erkennung und Behebung von Abstürzen und unerwarteten technischen Fehlern verwenden wir Firebase Crashlytics.

Im Fall eines Absturzes oder einer unerwarteten Exception können technische Diagnosedaten verarbeitet werden, insbesondere Crash-Stacktraces, Zeitpunkte von Fehlern, App-Version, Betriebssystem- und Geräteinformationen sowie von Firebase verwendete Installations- oder Crash-Kennungen.

Gesundheitsdaten und andere sensible personenbezogene Daten werden von uns nicht gezielt an Firebase Crashlytics zur Fehleranalyse übermittelt.

Zweck: Erkennung, Analyse und Behebung technischer Fehler sowie Verbesserung der Stabilität und Sicherheit der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einer stabilen, sicheren und fehlerfreien Bereitstellung der App.

Speicherdauer: Firebase dokumentiert für Crash-Stacktraces, zugehörige Kennungen und extrahierte Diagnosedaten eine Aufbewahrungsdauer von 90 Tagen, bevor die Löschung aus Live- und Backup-Systemen eingeleitet wird.

11. Gerätekennungen und sonstige Identifikatoren

Beim Download der App können durch den jeweiligen App Store unter anderem individuelle Gerätekennziffern verarbeitet werden.

Für den Versand von Push-Benachrichtigungen verwenden wir auf Android Firebase Cloud Messaging (FCM) und auf iOS den Apple Push Notification service (APNs). Dabei werden technische Registrierungstoken bzw. Geräte- oder App-Installationskennungen verarbeitet, damit Push-Benachrichtigungen der richtigen App-Installation zugestellt werden können.

Für die Nutzungsanalyse mit Google Analytics sowie die Fehleranalyse mit Firebase Crashlytics können außerdem technisch erzeugte App-, Installations-, Session- oder Crash-Kennungen verarbeitet werden, soweit diese von den jeweiligen Diensten benötigt werden.

Gesundheitsdaten und andere sensible personenbezogene Daten werden nicht zur Bildung oder Nutzung dieser technischen Kennungen verwendet.

12. App-Berechtigungen und Systemfunktionen

Für bestimmte technische Funktionen verwendet die App Berechtigungen bzw. Systemkonfigurationen des jeweiligen Betriebssystems. Diese werden ausschließlich für die nachfolgend beschriebenen Zwecke genutzt.

iOS

• UIBackgroundModes: fetch
  Ermöglicht es der App, Daten im Hintergrund zu aktualisieren, damit Inhalte und Statusinformationen auch ohne aktives Öffnen der App aktualisiert werden können.
• UIBackgroundModes: remote-notification
  Ermöglicht den Empfang sogenannter „Silent Push Notifications“ im Hintergrund. Diese können verwendet werden, um die App im Hintergrund über neue oder aktualisierte Informationen zu informieren und erforderliche Aktualisierungen anzustoßen.
• CFBundleURLTypes
  Ermöglicht der App die Verarbeitung bzw. das Öffnen definierter URL-Schemata, beispielsweise für App-interne Navigation, Deep Links oder Rücksprünge aus anderen Anwendungen.
• LSApplicationQueriesSchemes
  Ermöglicht der App zu prüfen, ob bestimmte URL-Schemata auf dem Gerät verfügbar sind. Dies wird unter anderem verwendet, um tel bzw. telprompt aufzurufen und damit den Telefonwähler des Geräts zu öffnen.

Für Push-Benachrichtigungen nutzt die App auf iOS den Apple Push Notification service (APNs). Nutzer können die Berechtigung für Benachrichtigungen jederzeit über die iOS-Systemeinstellungen ändern oder widerrufen.

Android

• android.permission.INTERNET
  Ermöglicht der App den Zugriff auf das Internet und ist erforderlich, um Daten mit den Cerascreen-Systemen und den eingesetzten technischen Diensten auszutauschen.
• android.permission.POST_NOTIFICATIONS
  Ermöglicht auf Android 13 und neuer das Anzeigen von Push-Benachrichtigungen. Nutzer können diese Berechtigung jederzeit über die Android-Systemeinstellungen ändern oder widerrufen.
• android.permission.RECEIVE_BOOT_COMPLETED
  Ermöglicht es der App, nach einem Neustart des Geräts erforderliche Benachrichtigungsfunktionen erneut zu initialisieren bzw. zu registrieren.
• android.permission.FOREGROUND_SERVICE
  Ermöglicht die Ausführung eines Vordergrunddienstes, der für bestimmte Benachrichtigungsfunktionen über Notifee verwendet wird.

Für Push-Benachrichtigungen nutzt die App auf Android Firebase Cloud Messaging (FCM). Die genannten Berechtigungen und Systemfunktionen werden nicht dazu verwendet, Gesundheitsdaten oder andere sensible personenbezogene Daten zu erfassen.

13. KI- und LLM-basierte Funktionen

Die App bietet einen Assistenten zur Analyse der Testergebnisse eines digitalen Zwillings.

Vor der Erstellung eines digitalen Zwillings wird der Nutzer um seine Zustimmung gebeten. Die KI-Funktion berät anschließend den digitalen Zwilling. Direkte Gesundheitsdaten des Nutzers werden nicht an das eingesetzte Large Language Model (LLM) übertragen.

Das LLM erhält für die jeweilige Unterhaltung nur einen begrenzten Gesprächskontext. Für die Erzeugung einer Antwort werden maximal die fünf vorherigen Anfragen als Gesprächskontext berücksichtigt. Ältere Anfragen werden dem Modell nicht mehr als Kontext für nachfolgende Antworten bereitgestellt.

Rechtsgrundlage: Die Erstellung des digitalen Zwillings erfolgt nach Zustimmung des Nutzers. Soweit die Verarbeitung auf einer Einwilligung beruht, ist Art. 6 Abs. 1 lit. a DSGVO die Rechtsgrundlage. Soweit die Funktion Bestandteil der vom Nutzer angeforderten vertraglichen Leistung ist, kann Art. 6 Abs. 1 lit. b DSGVO einschlägig sein.

Die KI-Funktion erhält nicht den Gesundheitsdatensatz des Nutzers selbst, sondern arbeitet mit dem nach Zustimmung erzeugten digitalen Zwilling.

14. Kundenservice und Support

Wenn Nutzer uns per E-Mail, Telefon, Webseite oder auf anderem Weg kontaktieren, verarbeiten wir die aus der Anfrage hervorgehenden personenbezogenen Daten, insbesondere Name und Inhalt der Anfrage, zur Bearbeitung des Anliegens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. a DSGVO, sofern eine Einwilligung eingeholt wird, und/oder Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an einer effektiven Bearbeitung von Anfragen.

Speicherdauer: bis zur Löschaufforderung, zum Widerruf einer Einwilligung oder bis der Zweck der Speicherung entfällt, insbesondere nach abgeschlossener Bearbeitung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Als externer Dienstleister für Kundenanfragen, Kundendienst und Kundenumfragen wird in der bestehenden Datenschutzerklärung Armin CX aufgeführt.

15. Empfänger und Auftragsverarbeiter

Innerhalb der Cerascreen GmbH erhalten diejenigen Stellen Zugriff auf personenbezogene Daten, die diese zur Erfüllung vertraglicher Verpflichtungen und gesetzlicher Pflichten benötigen.

Auch eingesetzte Dienstleister und Erfüllungsgehilfen können Daten erhalten, sofern die datenschutzrechtlichen Vorschriften eingehalten werden.

Die bestehende Datenschutzerklärung nennt insbesondere folgende externe Dienstleister:

• Armin CX – Kundenanfragen, Kundendienst, Kundenumfragen
• Shopify – Bestellannahme und -verarbeitung
• OrderDesk – Bestell- und Versandabwicklung, Lieferscheine, Rechnungslegung
• Klaviyo – Newsletter-Versand
• my.Cera (Heroku IaaS) – Ablage von Testergebnissen und Gesundheitsfragen
• Amazon Web Services (AWS) – wissenschaftliche Datenanalysen
• Google Sheets – Kundenumfragen
• Typeform – Kundenumfragen

Laut bestehender Datenschutzerklärung bestehen mit den Anbietern entweder Auftragsverarbeitungsverträge oder, im internationalen Verkehr, Standardvertragsklauseln zum Datenschutz.

16. Übermittlung von Daten außerhalb der EU bzw. des EWR

Einige eingesetzte Dienstleister können personenbezogene Daten in Drittstaaten, insbesondere in die USA, übermitteln oder dort verarbeiten.

Die bestehende Datenschutzerklärung nennt als Absicherungen unter anderem EU-Standardvertragsklauseln sowie – soweit einschlägig – das EU-US Data Privacy Framework.

Für einzelne bestehende Dienstleister werden insbesondere folgende Transfers genannt:

• Shopify: mögliche Übermittlung nach Kanada und in die USA auf Basis von EU-Standardvertragsklauseln
• OrderDesk: USA, Standardvertragsklauseln gemäß Art. 46 DSGVO
• Heroku / Salesforce: USA, EU-Standardvertragsklauseln
• AWS: USA; laut bestehender Erklärung vorzugsweise Rechenzentren innerhalb der EU, Absicherung über EU-Standardvertragsklauseln
• Klaviyo: USA, Standardvertragsklauseln gemäß Art. 46 DSGVO

17. Datensicherheit

Cerascreen verwendet organisatorische und technische Maßnahmen, um die Sicherheit personenbezogener Daten zu gewährleisten. Die bestehenden Datenschutzinformationen nennen physische, technische und administrative Maßnahmen sowie eine regelmäßige Überprüfung und Verbesserung der Datenschutz- und Sicherheitspraktiken.

Für Forschung werden identifizierende Registrierungsinformationen vor Analysen entfernt und die Forschungsdaten pseudonymisiert verarbeitet. Forschungsergebnisse werden nur in zusammengefasster Form veröffentlicht oder geteilt, soweit keine Person identifizierbar ist.

Die Website nutzt SSL-/TLS-Verschlüsselung zum Schutz vertraulicher Übertragungen.

Alle App-API-Verbindungen werden über TLS/HTTPS verschlüsselt. Gespeicherte App- und Gesundheitsdaten werden durch Verschlüsselung, Zugriffskontrollen und regelmäßige Sicherheitsüberprüfungen geschützt.

18. Speicherdauer

Soweit keine speziellere Speicherdauer genannt wird, verbleiben personenbezogene Daten bei Cerascreen, bis der Zweck für die Datenverarbeitung entfällt.

Bei einem berechtigten Löschersuchen oder Widerruf einer Einwilligung werden die Daten gelöscht, sofern keine anderen rechtlich zulässigen Gründe für die weitere Speicherung bestehen. Gesetzliche, insbesondere steuer- und handelsrechtliche Aufbewahrungspflichten bleiben unberührt.

Die bestehende Datenschutzerklärung nennt für handels- und steuerrechtliche Pflichten Aufbewahrungsfristen von 2 bis 10 Jahren.

19. Löschung des Benutzerkontos und der App-Daten

Die bestehende Datenschutzerklärung bestätigt, dass Nutzer ihre Teilnahme an cerascreen Research durch Schließung des cerascreen-Kontos beenden können und dass Anträge auf Kontoschließung direkt in den Kontoeinstellungen gestellt werden können.

Löschung innerhalb des Kontos: Kontoschließungsanträge können nach der bestehenden Datenschutzerklärung direkt in den Kontoeinstellungen gestellt werden.

Löschpfad innerhalb der App: Profil → Benutzerkonto löschen. Die Funktion „Benutzerkonto löschen“ befindet sich als unterster Menüpunkt auf der Profilseite.

Nutzer können sich für Löschungsanfragen außerhalb der App außerdem an datenschutz@cerascreen.de wenden. Die öffentlich erreichbare Datenschutzerklärung beschreibt diesen Löschungsweg auch außerhalb der App.

Bei Löschung gilt grundsätzlich: Daten werden gelöscht, soweit der Verarbeitungszweck entfällt und keine gesetzlichen, insbesondere steuer- oder handelsrechtlichen Aufbewahrungspflichten entgegenstehen.

20. Widerruf von Einwilligungen und Widerspruch

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht, besteht nach Art. 21 DSGVO unter den gesetzlichen Voraussetzungen ein Widerspruchsrecht.

Gegen die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann jederzeit Widerspruch eingelegt werden.

21. Rechte betroffener Personen

Nutzer haben im Rahmen der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Recht auf Auskunft nach Art. 15 DSGVO
• Recht auf Berichtigung nach Art. 16 DSGVO
• Recht auf Löschung nach Art. 17 DSGVO
• Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO
• Recht auf Datenübertragbarkeit nach Art. 20 DSGVO
• Recht auf Widerspruch nach Art. 21 DSGVO
• Recht auf Widerruf erteilter Einwilligungen
• Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO

Die für Cerascreen zuständige Aufsichtsbehörde ist laut bestehender Datenschutzerklärung:

22. Automatisierte Entscheidungen und Profiling

Zur Begründung und Durchführung der Geschäftsbeziehung nutzt die Cerascreen GmbH nach der bestehenden Datenschutzerklärung grundsätzlich keine vollautomatisierte Entscheidungsfindung gemäß Art. 22 DSGVO. Sollte ein solches Verfahren im Einzelfall eingesetzt werden, werden Betroffene hierüber gesondert informiert, sofern dies gesetzlich erforderlich ist.

Die bestehende Datenschutzerklärung weist zugleich darauf hin, dass Kundendaten teilweise automatisiert verarbeitet werden, um bestimmte geschäftliche Aspekte zu bewerten, insbesondere für bedarfsgerechte Kommunikation und Werbung sowie in einzelnen Fällen zur Beurteilung der Kreditwürdigkeit.

23. Forschung und wissenschaftliche Nutzung

Die Teilnahme an cerascreen Research ist freiwillig. Nutzer wählen aus, an welchen Umfragen sie teilnehmen, welche Informationen sie bereitstellen und welche Fragen sie beantworten möchten.

Im Rahmen von cerascreen Research können insbesondere verarbeitet werden:

• biologische, genetische und epigenetische Daten
• Informationen aus Umfragen, Formularen und anderen Research-Funktionen
• Alter und ethnische Zugehörigkeit
• Daten von Dritten, zu deren Verwendung der Nutzer Cerascreen für Forschungszwecke autorisiert

Für wissenschaftliche Analysen wird laut bestehender Datenschutzerklärung Amazon Web Services (AWS) eingesetzt. Dabei werden pseudonymisierte Labor- und Forschungsdaten sowie Analyseergebnisse verarbeitet.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO für einwilligungsbasierte Forschung mit Gesundheitsdaten sowie Art. 6 Abs. 1 lit. f DSGVO für das berechtigte Interesse an Forschung und Qualitätssicherung.

Forschungsanalysen erfolgen mit pseudonymisierten Daten, bei denen identifizierende Registrierungsinformationen entfernt werden.

Forschungsergebnisse werden nur in zusammengefasster Form veröffentlicht oder geteilt, wenn keine bestimmte Person identifizierbar ist.

Speicherdauer: anonymisierte Daten können unbefristet gespeichert werden. Für AWS nennt die bestehende Datenschutzerklärung anonymisierte oder pseudonymisierte Forschungsdaten als unbefristet und personenbezogene Daten bis zum Widerruf der Einwilligung.

Nutzer können ihre Zustimmung zur Forschung in den Kontoeinstellungen ändern. Nach Widerruf werden biologische und selbstberichtete Informationen nach der bestehenden Beschreibung nicht mehr für neue Forschungsprojekte verwendet, die nach 30 Tagen nach Eingang der Anfrage initiiert werden.

24. Marketing und Newsletter

Soweit Nutzer eine Einwilligung für Marketing oder Newsletter erteilen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

Für Newsletter nennt die bestehende Datenschutzerklärung Klaviyo Inc., Boston, USA. Verarbeitet werden insbesondere E-Mail-Adresse, Name sowie Interaktionsdaten wie Öffnungen und Klicks.

Speicherdauer: bis zum Widerruf der Einwilligung oder Abmeldung vom Newsletter.

Der Drittlandtransfer in die USA wird laut bestehender Datenschutzerklärung auf Standardvertragsklauseln gemäß Art. 46 DSGVO gestützt.

25. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich die App, Datenverarbeitungen oder gesetzliche bzw. behördliche Anforderungen ändern.

26. Kontakt

Telefon: +49 (0) 385 74139002

Allgemeine Datenschutzanfragen: datenschutz@cerascreen.de

Externer Datenschutzbeauftragter: cerascreen@dsbok.de