Datenschutzerklärung

Wir nehmen den Schutz Ihrer personenbezogenen Daten ernst. Diese Erklärung informiert Sie gemäß Art. 13/14 DSGVO über Art, Umfang und Zwecke der Verarbeitung personenbezogener Daten bei der Nutzung von CurioVault.

1. Verantwortlicher

David Friedemann Weil Talstraße 11 35789 Weilmünster Deutschland E-Mail: feedback@biobanking.cloud

2. Rollenverteilung (Verantwortlicher / Auftragsverarbeiter)

Im SaaS-Betrieb verarbeiten wir die in CurioVault erfassten Inhaltsdaten (z. B. Proben, Lagerorte, Kontakte) im Auftrag des nutzenden Labors/der nutzenden Organisation. Datenschutzrechtlich Verantwortlicher für diese Inhaltsdaten ist die jeweilige Organisation; wir sind insoweit Auftragsverarbeiter (Art. 28 DSGVO) und schließen mit der Organisation einen Auftragsverarbeitungsvertrag (AVV). Für die Daten, die wir zur Bereitstellung des Kontos und der Plattform selbst verarbeiten (Konto-/Stammdaten, Abrechnung), sind wir Verantwortlicher.

3. Welche Daten wir verarbeiten

• Kontodaten: E-Mail-Adresse, Name, Rolle, Organisationszugehörigkeit, optional Position/Abteilung/Telefon.
• Nutzungs-/Protokolldaten: Anmeldeereignisse, Audit-Protokoll von Änderungen (Wer/Wann/Was), technische Server-Logs.
• Inhaltsdaten der Organisation: Probendaten und Metadaten, Lagerstruktur, Wartungs-/Erreichbarkeitsangaben.
• Cookies: ausschließlich technisch notwendige Cookies (Authentifizierungs-Session sowie Sprachwahl „curiovault.locale“).

Hinweis: CurioVault ist nicht dafür bestimmt, direkt patientenidentifizierende Daten aufzunehmen. Werden über Freitext-/Metadatenfelder dennoch personenbezogene oder besondere Kategorien von Daten (Art. 9 DSGVO) eingegeben, liegt dies in der Verantwortung der nutzenden Organisation; siehe Nutzungsbedingungen.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung der Plattform und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherheit, Missbrauchsprävention und Audit-Protokollierung (Art. 6 Abs. 1 lit. f DSGVO).
• Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).
• Auftragsverarbeitung im Namen der Organisation (Art. 28 DSGVO).

5. Hosting und eingesetzte Dienstleister

Die Anwendung wird mit Supabase (Datenbank, Authentifizierung, Hosting) betrieben. Hosting-Standort ist die AWS-Region eu-west-1 (Irland, Europäische Union); die Daten werden dort gespeichert und verarbeitet. Mit dem Dienstleister besteht ein Auftragsverarbeitungsvertrag. Für den Versand von System-E-Mails und Web-Push-Benachrichtigungen werden weitere Dienstleister eingesetzt, mit denen ebenfalls Auftragsverarbeitungsverträge bestehen. Zum Schutz der Anmelde- und Registrierungsseiten sowie des Kontaktformulars vor automatisierten Zugriffen setzen wir Cloudflare Turnstile ein (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Dabei werden Ihre IP-Adresse und technische Merkmale Ihres Browsers an Cloudflare übermittelt; es werden keine Cookies zu Tracking-Zwecken gesetzt.

6. Drittlandübermittlung

Die Speicherung und Verarbeitung findet innerhalb der Europäischen Union statt (AWS-Region eu-west-1, Irland). Der Anbieter Supabase Inc. hat seinen Sitz in den Vereinigten Staaten; ein Zugriff auf die Daten im Rahmen von Support und Wartung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden technischen und organisatorischen Maßnahmen. Eine planmäßige Übermittlung von Inhaltsdaten in ein Drittland findet nicht statt. Beim Einsatz von Cloudflare Turnstile werden Ihre IP-Adresse und technische Browsermerkmale an Cloudflare, Inc. in die USA übermittelt; auch diese Übermittlung stützt sich auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

7. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind oder Sie Ihr Konto löschen. Proben- und Audit-Daten bleiben aus Nachweis-/Integritätsgründen in anonymisierter Form erhalten. Gesetzliche Aufbewahrungsfristen bleiben unberührt.

8. Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung (Art. 18).
• Datenübertragbarkeit (Art. 20) — in CurioVault über die Export-Funktion in den Einstellungen.
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).
• Löschung des eigenen Kontos jederzeit selbst über Einstellungen → Konto löschen.
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77).

9. Cookies

CurioVault setzt ausschließlich technisch notwendige Cookies ein (Authentifizierungs-Session und Speicherung der Sprachwahl). Es findet kein Tracking und keine Werbe-/Analyse-Cookie-Nutzung statt; ein Einwilligungsbanner ist hierfür nicht erforderlich.

10. Kontaktformular

Wenn Sie uns über das Kontaktformular (/kontakt) schreiben, verarbeiten wir die von Ihnen gemachten Angaben ausschließlich, um Ihre Anfrage zu bearbeiten und zu beantworten.

• Verarbeitete Daten: E-Mail-Adresse (erforderlich, damit wir antworten können), Name, Betreff und Thema (freiwillig), Ihr Nachrichtentext sowie die eingestellte Sprache.
• Zur Abwehr von Spam und automatisierten Massenanfragen zusätzlich: ein kryptografischer Prüfwert Ihrer IP-Adresse (HMAC — die IP-Adresse selbst wird nicht gespeichert) und Ihre Browserkennung.
• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zur Anbahnung oder Durchführung eines Vertrags; Art. 6 Abs. 1 lit. f DSGVO bei sonstigen Anfragen sowie für die Missbrauchsabwehr. Die Bereitstellung des Kanals selbst erfüllt § 5 Abs. 1 Nr. 2 DDG.
• Ohne Angabe einer E-Mail-Adresse können wir Ihre Anfrage nicht beantworten (Art. 13 Abs. 2 lit. e DSGVO).
• Speicherdauer: Anfragen werden nach 90 Tagen automatisch gelöscht, der Prüfwert der IP-Adresse und die Browserkennung bereits nach 7 Tagen. Eine längere Aufbewahrung erfolgt nur, soweit dies zur weiteren Bearbeitung erforderlich oder gesetzlich geboten ist (z. B. § 147 AO). Für den anschließenden E-Mail-Verkehr gelten die Fristen des jeweiligen Postfachs.
• Zur Prüfung, ob die Anfrage von einem Menschen stammt, setzen wir Cloudflare Turnstile ein (siehe Ziffer 5 und 6).
• Eingehende Anfragen werden dem Anbieter per E-Mail und optional per Push-Benachrichtigung zugestellt. Push-Inhalte sind Ende-zu-Ende verschlüsselt; der Push-Dienst des Geräteherstellers transportiert sie, kann sie aber nicht lesen.

Der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie jederzeit nach Art. 21 DSGVO widersprechen.

11. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Verarbeitung ändern. Es gilt die jeweils hier veröffentlichte Fassung.