Datenschutzerklärung

1. Wer für deine Daten verantwortlich ist

EIGENHAIN GmbH, Hafenstr. 25-27, 68159 Mannheim
E-Mail: contact@eigenhain.com

2. Worum es geht

EIGENHAIN Skin Health erstellt aus deinen Angaben im Anamnesebogen und dem Laborbefund deiner Stuhlprobe eine persönliche Auswertung mit Empfehlungen zu Ernährung, Hautpflege und Lebensstil. Jede Auswertung wird vor der Bereitstellung von einer Heilpraktikerin oder einem Heilpraktiker geprüft und freigegeben. Du rufst sie in deinem Konto ab; per E-Mail senden wir sie nicht.

3. Welche Daten wir verarbeiten

• Angaben zu deiner Person: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Geschlecht, Größe und Gewicht.
• Gesundheitsangaben aus dem Anamnesebogen, zum Beispiel zu deiner Haut, Verdauung, Ernährung, Medikamenten und deinem Lebensstil.
• Testkit und Laborbefund: die Kennung deines Testkits und die Werte der Darmflora-Analyse.
• Deine Auswertung und die Schritte ihrer Erstellung und Freigabe.
• Dein Konto: dein Passwort nur als nicht umkehrbarer Hashwert, ein zweiter Faktor oder Passkey, falls du einen einrichtest, und deine Anmeldungen.
• Deine Einwilligungen: welche du erteilt oder widerrufen hast, wann und in welcher Textfassung.
• Protokolle: wer wann auf deine Daten zugegriffen oder sie geändert hat. IP-Adresse und Browserkennung speichern wir dabei nur als nicht umkehrbaren Hashwert, Gesundheitswerte nie.

Deine Angaben werden verschlüsselt übertragen. Name, Kontaktdaten, Geburtsdatum, deine Antworten im Anamnesebogen und deine Laborwerte speichern wir zusätzlich einzeln verschlüsselt.

4. Wofür und auf welcher Rechtsgrundlage

• Erstellung deiner Auswertung aus Gesundheitsangaben und Laborbefund: deine ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO.
• Dein Konto, der Versand des Testkits und die Abwicklung unseres Vertrags: Art. 6 Abs. 1 lit. b DSGVO.
• Nachweise und Aufbewahrung, etwa welche Einwilligung du wann erteilt hast und wer eine Auswertung freigegeben hat: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO.
• Sicherheit — Zugriffsprotokolle, Schutz vor unbefugten Anmeldungen: unser berechtigtes Interesse an einem sicheren Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
• Informationen zu Angeboten per E-Mail nur, wenn du dem gesondert zugestimmt hast: Art. 6 Abs. 1 lit. a DSGVO.

Die Angaben im Anamnesebogen sind freiwillig. Ohne sie und ohne deine Einwilligung können wir keine Auswertung erstellen.

Kinder und Jugendliche: Ab 16 Jahren willigst du selbst ein; mit 16 und 17 bestätigst du zusätzlich, dass deine Eltern mit der Teilnahme einverstanden sind. Für ein Kind unter 16 Jahren willigt ein Elternteil oder Vormund für das Kind ein und erklärt, dazu berechtigt zu sein. Wir speichern dann zusätzlich Name und Beziehung dieser Person; sie führt das Konto des Kindes, erhält die Auswertung und nimmt die Rechte des Kindes nach Abschnitt 10 wahr.

5. Wer deine Daten erhält

• Unsere Mitarbeitenden, soweit ihre Aufgabe es erfordert. Jeder Zugriff auf Gesundheitsdaten wird protokolliert.
• Die freigebende Heilpraktikerin oder der freigebende Heilpraktiker. Ihr oder sein Name steht auf deiner Auswertung.
• Das Labor (medivere GmbH) erhält deine Probe mit den Angaben auf dem Probenbegleitschein und übermittelt uns den Befund.
• Technische Dienstleister, die in unserem Auftrag und nach unseren Weisungen arbeiten (Art. 28 DSGVO):
  Hosting: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe (Server in Deutschland)
  Dateiablage: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Object Storage, Rechenzentrum in der EU)
  E-Mail-Versand: Resend, Inc., USA (Versand über ein Rechenzentrum in Irland)
  Datensicherung: Hetzner Online GmbH (Storage Box, Rechenzentrum in der EU)
• Behörden nur, wenn wir gesetzlich dazu verpflichtet sind.

Die Praxis, die dir das Testkit gegeben hat, erfassen wir zur Zuordnung und Verwaltung des Kits. Sie erhält über Skin Health keinen eigenen Zugang zu deinem Vorgang.

Unser E-Mail-Dienstleister hat seinen Sitz in den USA. Er versendet unsere E-Mails über ein Rechenzentrum in Irland; deine E-Mail-Adresse und die Versandprotokolle können dabei auch in den USA verarbeitet werden. Das ist zulässig, weil er unter dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Unsere E-Mails enthalten keine Gesundheitsangaben. Darüber hinaus übermitteln wir keine personenbezogenen Daten in Länder außerhalb der EU oder des EWR. Wenn du ein Passwort festlegst, prüfen wir, ob es aus bekannten Datenlecks stammt. Dafür geht nur der Anfang eines Hashwerts des Passworts an den Dienst „Pwned Passwords“; daraus lässt sich weder das Passwort noch deine Person ermitteln.

6. Wie lange wir deine Daten speichern

• Ein nicht abgeschickter Anamnesebogen: 14 Tage.
• Ein abgeschickter, aber nie per E-Mail bestätigter Anamnesebogen: 14 Tage.
• Gesundheitsangaben, Laborbefund und Auswertung: zehn Jahre nach Abschluss der Auswertung (Aufbewahrungspflicht der Heilpraktikerin nach § 630f Abs. 3 BGB).
• Nachweise deiner Einwilligungen, auch nach einem Widerruf: so lange wie die Daten, auf die sie sich beziehen, höchstens zehn Jahre nach Abschluss der Auswertung.
• Zugriffsprotokolle: zehn Jahre.
• Anmeldungen (Sitzungen): bis 30 Tage nach ihrem Ablauf.
• Protokoll der an dich gesendeten E-Mails: 12 Monate.
• Verschlüsselte Sicherungskopien: die täglichen 30 Tage, eine je Monat 12 Monate. Gelöschte Daten verschwinden aus den Sicherungskopien, wenn diese ablaufen. Müssen wir eine Sicherung zurückspielen, löschen wir alles erneut, was seit ihrer Erstellung gelöscht wurde, bevor das System wieder genutzt wird.

Wenn eine gesetzliche Aufbewahrungspflicht oder ein laufendes Verfahren entgegensteht, schränken wir die Verarbeitung ein, statt zu löschen, und löschen, sobald der Grund entfällt.

Dokumentationspflicht: Ist deine Auswertung fertiggestellt, ist sie zusammen mit deinen Angaben und dem Laborbefund zehn Jahre lang aufzubewahren (§ 630f BGB). Die zehn Jahre beginnen mit der letzten Veröffentlichung deiner Auswertung. Beantragst du vorher die Löschung, schließen wir dein Konto und löschen alles, was nicht zu dieser Dokumentation gehört, etwa deine Kontaktdaten. Die Dokumentation selbst bleibt mit deinem Namen und Geburtsdatum gesperrt gespeichert und wird nach Ablauf der zehn Jahre automatisch gelöscht.

7. Anonyme Statistik

Wenn deine Auswertung bereitgestellt ist, halten wir einmalig einen anonymen statistischen Eintrag fest, um den Dienst zu verbessern: den Monat (kein genaues Datum), eine Altersgruppe (kein Geburtsdatum), das Geschlecht, ob die Empfehlung über eine Praxis kam, eingeordnete Antworten, bei Laborwerten nur „unter“, „im“ oder „über“ dem Referenzbereich, und wie lange die Bearbeitung dauerte.

Der Eintrag enthält keinen Namen, keine Kennung, keine Fallnummer, keinen Freitext und keine Laborwerte, und es gibt keinen Weg von ihm zu dir zurück. Ausgewertet wird er nur in Gruppen von mindestens fünf Personen. Weil er keine personenbezogenen Daten enthält, bleibt er auch bestehen, wenn deine Daten gelöscht werden.

8. Keine automatisierte Entscheidung

Die Empfehlungen werden nach festen fachlichen Regeln vorbereitet und vor der Bereitstellung von einem Menschen geprüft und freigegeben. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

9. Cookies

Wir verwenden nur Cookies, die für den Dienst technisch notwendig sind: eines, das dich nach der Anmeldung angemeldet hält, und eines, das Formulare vor Missbrauch durch fremde Webseiten schützt. Beide enden mit deiner Sitzung. Dafür brauchen wir keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse-, Werbe- oder Tracking-Werkzeuge setzen wir nicht ein.

10. Deine Rechte

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO).

Widerruf deiner Einwilligung: Du kannst jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Ohne Einwilligung in die Verarbeitung deiner Gesundheitsdaten können wir eine laufende Auswertung nicht fortsetzen.

Am einfachsten geht all das in deinem Konto unter Datenschutz: Dort lädst du deine Daten herunter, widerrufst Einwilligungen und beantragst die Löschung. Du kannst uns auch schreiben: contact@eigenhain.com. Wir antworten innerhalb eines Monats.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

11. Änderungen

Ändert sich diese Erklärung, erhält sie eine neue Versionsnummer. Bei jeder Einwilligung speichern wir, welche Fassung dir dabei vorlag.