Datenschutzerklärung für die roaadent-Patienten-App

1. Was diese Erklärung umfasst

Diese Datenschutzerklärung gilt für die App «roaadent» für iPhone, iPad sowie Android-Handys und -Tablets (die «App») und für die roaadent-Server, mit denen die App Daten austauscht (zusammen der «Dienst»). Die App ist das Patientenportal Ihrer Zahnarztpraxis. Sie können sie nur nutzen, wenn Ihre Praxis Sie eingeladen hat. Sie sehen darin Ihre Termine, Recalls, Rechnungen und Offerten, lesen Nachrichten Ihrer Praxis und können Termine buchen, verschieben oder absagen.

Die Erklärung beruht auf dem Schweizer Datenschutzgesetz (nDSG, revDSG) und, soweit es für Sie gilt, auf der EU-Datenschutz-Grundverordnung (DSGVO).

2. Wer verantwortlich ist

Es sind zwei Stellen beteiligt.

Ihre Zahnarztpraxis ist die Verantwortliche für Ihre Patientendaten im Dienst (Stammdaten, Termine, Recalls, Rechnungen, Offerten und Nachrichten). Die Praxis entscheidet, wofür und wie diese Daten verwendet werden. Die Praxis, die Sie eingeladen hat, wird Ihnen in der App bei der Anmeldung und auf dem Startbildschirm mit Adresse und Kontaktangaben angezeigt. Ihre Praxis untersteht dem Berufsgeheimnis.

Schweizerpunkt GmbH, Gotthelfstrasse 41, 8172 Niederglatt, Schweiz ([email protected]) veröffentlicht die App und betreibt die roaadent-Server. Für Ihre Patientendaten handelt sie als Auftragsbearbeiterin im Auftrag der Praxis und nur nach deren Weisungen.

Für die App selbst (Verteilung im App Store und in Google Play, Demo-Modus, Inhalt dieser Erklärung) ist die Schweizerpunkt GmbH verantwortlich.

Ihre Rechte (Abschnitt 10) können Sie bei Ihrer Praxis oder bei uns geltend machen. Schreiben Sie uns zu Ihren Patientendaten, leiten wir die Anfrage an Ihre Praxis weiter, weil nur die Praxis darüber entscheiden kann.

3. Das Wichtigste in Kürze

• Die App enthält kein Tracking, keine Werbung und keine Analyse-Komponenten.
• Wir verkaufen Ihre Daten nicht und geben sie nicht für Werbung weiter.
• Sie melden sich an, indem Sie in Ihrer Praxis einen QR-Code mit der App scannen. Damit wird Ihr Telefon mit Ihrem Zugang gekoppelt. Es gibt kein Passwort, und es wird kein Code per SMS oder Push-Nachricht verschickt. Dabei geben Sie Ihr Geburtsdatum ein.
• Die Daten, die Sie sehen, stammen aus der Akte Ihrer Praxis über Sie. Die App zeigt nie Diagnosen, Befunde, Röntgenbilder oder Behandlungsnotizen. Die PDF-Dateien von Rechnungen und Offerten führen aber Behandlungen und Tarifpositionen auf und können deshalb Gesundheitsinformationen enthalten. Wir behandeln darum alle Daten in der App als besonders schützenswert.
• Die roaadent-Server stehen in der Schweiz (Infomaniak).
• Die App nutzt weder Ihren Standort noch Ihre Kontakte, Fotos, Kamera oder Ihr Mikrofon.

4. Welche Daten wir bearbeiten und wozu

4.1 Anmeldung

• QR-Code. Ihre Praxis zeigt Ihnen einen QR-Code, der Ihren Einladungscode enthält. Sie scannen ihn mit der App; damit wird Ihr Telefon mit Ihrem Zugang gekoppelt (Abschnitt 4.2).
• Einladungscode. Sie erhalten ihn von Ihrer Praxis. Er gilt 14 Tage und kann nur einmal verwendet werden. Auf unseren Servern wird nur ein Fingerabdruck (Hash) des Codes gespeichert.
• Geburtsdatum. Sie geben es in der App ein. Der Server vergleicht es mit der Akte bei Ihrer Praxis. Nach fünf falschen Versuchen wird die Einladung gesperrt. Die App speichert Ihr Geburtsdatum nicht auf Ihrem Telefon.
• Kenntnisnahme der Datenschutzerklärung. Bei der ersten Einrichtung bestätigen Sie mit «Ja», dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben. Erst danach zeigt die App Ihre Daten an. Wir speichern Zeitpunkt und Fassung Ihrer Bestätigung als Nachweis.
• Zweck: sicherstellen, dass nur Sie Zugriff auf Ihre Daten erhalten.

4.2 Ihr Telefon registrieren

Bei der ersten Anmeldung erzeugt die App auf Ihrem Telefon ein Schlüsselpaar. Der private Schlüssel bleibt auf Ihrem Telefon. Der Server speichert nur den öffentlichen Schlüssel, die Geräteart («iOS» oder «Android»), eine allgemeine Modellbezeichnung sowie Zeitpunkt der Erstellung und der letzten Nutzung, damit Sie und Ihre Praxis das Gerät erkennen und bei Bedarf sperren können. Bei jeder Erneuerung der Anmeldung beweist die App mit dem privaten Schlüssel, dass es noch Ihr Telefon ist.

4.3 Ihre Daten aus der Praxis

Nach der Anmeldung lädt die App über eine verschlüsselte Verbindung folgende Daten über Sie aus dem System Ihrer Praxis:

• Personendaten: Vorname, Nachname, Geburtsdatum, Adresse, E-Mail-Adresse, Mobiltelefonnummer mit verdeckten Ziffern und Ihre bevorzugte Sprache.
• Praxisdaten: Name, Adresse, Telefonnummer und E-Mail-Adresse Ihrer Praxis.
• Termine: Datum, Uhrzeit, Dauer, behandelnde Person, Ort und Status (zum Beispiel bestätigt oder abgesagt).
• Recalls: Art der Kontrolle (zum Beispiel zahnärztliche Kontrolle oder Dentalhygiene), Fälligkeitsmonat und ob offen oder gebucht.
• Rechnungen: Nummer, Datum, Fälligkeit, Betrag, offener Betrag, Status, Mahnstufe und bei bezahlten Rechnungen das Zahlungsdatum.
• Offerten: Nummer, Datum, Gültigkeit, Gesamtbetrag und Status.
• Nachrichten der Praxis: zum Beispiel Terminbestätigungen und Erinnerungen, mit dem Link zum zugehörigen Termin oder Dokument.

Termine, Recalls, Rechnungen und Offerten zeigen, dass Sie Patientin oder Patient einer Zahnarztpraxis sind und wann Sie dort behandelt werden. Das sind Angaben über Ihre Gesundheit. Zweck: Ihnen das Selbstbedienungsportal zur Verfügung zu stellen und Papierkram und Anrufe für Sie und die Praxis zu verringern.

Die geladenen Daten bleiben im Arbeitsspeicher der App, solange Sie sie nutzen. Die App speichert sie nicht auf Ihrem Telefon, ausser den PDF-Dokumenten nach Abschnitt 4.4. Wenn Sie sich abmelden oder die Sitzung endet, verschwinden die Daten aus dem Arbeitsspeicher der App.

4.4 PDF-Dokumente

Wenn Sie eine Rechnung oder Offerte öffnen, lädt die App das offizielle PDF vom Server. Das PDF einer Rechnung enthält auch den Schweizer Einzahlungsschein mit QR-Code. Das PDF führt Behandlungen und Tarifpositionen auf und enthält deshalb Gesundheitsinformationen. Das PDF wird im privaten Zwischenspeicher (Cache) der App auf Ihrem Telefon abgelegt, den andere Apps nicht lesen können. Das Betriebssystem kann diesen Speicher jederzeit leeren. Wenn Sie die App deinstallieren, wird er entfernt.

Wenn Sie «Mit Banking-App bezahlen» wählen oder ein Dokument teilen, übergibt die App das PDF an die App, die Sie im Teilen-Menü Ihres Telefons auswählen, zum Beispiel Ihre Banking-App. Ab dann ist diese App für die Datei verantwortlich, nach ihrer eigenen Datenschutzerklärung.

4.5 Termine buchen, verschieben und absagen

Wenn Sie in der App einen Termin buchen, verschieben oder absagen, sendet die App Ihre Auswahl an den Server: die Leistung, die behandelnde Person, Datum und Uhrzeit oder den Termin, den Sie ändern. Der Server trägt den Termin in den Kalender der Praxis ein. Ihre Praxis sieht, dass die Änderung aus der App kam. Sie erhalten eine Bestätigung als Nachricht in der App. Absagen ist bis 24 Stunden vor dem Termin möglich; später müssen Sie die Praxis anrufen.

4.6 Technische Daten und Protokolle

Wenn die App mit dem Server spricht, schreibt der Server für jede Anfrage und jedes Sicherheitsereignis (zum Beispiel einen falschen Code) eine Protokollzeile. Sie enthält: Zeit, Art des Ereignisses (zum Beispiel «Rechnungsliste geöffnet»), aufgerufenen Pfad, Nummer des betroffenen Dokuments, Ergebnis, Nummer Ihres Kontos und Geräts, Ihre IP-Adresse und den Kennungstext der Netzwerkbibliothek der App (User-Agent). Sie enthält keine Inhalte wie Beträge, Namen oder Codes. Die Server zählen ausserdem Anfragen pro IP-Adresse und pro Konto, um Missbrauch und Angriffe durch Ausprobieren zu verhindern.

Zweck: Sicherheit, Fehleranalyse, Schutz vor Missbrauch und Nachweis, wer auf welche Daten zugegriffen hat (Zugriffsprotokoll). Ihre Praxis kann den Zugriffsverlauf Ihres App-Zugangs einsehen.

4.7 Daten auf Ihrem Telefon

• Im sicheren Speicher des Telefons (iOS-Schlüsselbund, nur dieses Gerät; auf Android der verschlüsselte Speicher auf Basis des Android Keystore): das Anmelde-Token zur Erneuerung Ihrer Sitzung, die Gerätenummer, der private Schlüssel Ihres Telefons und der Name Ihrer Praxis. Diese Angaben werden beim Abmelden gelöscht.
• In den Einstellungen der App (nicht geheim): Sprache, Erscheinungsbild (hell/dunkel), ob die App-Sperre aktiv ist und die Sperrzeit sowie die Markierung, dass Sie im Demo-Modus sind.
• Nur im Arbeitsspeicher: das kurzlebige Zugriffs-Token (10 Minuten gültig) und die Daten nach Abschnitt 4.3.
• Im privaten Cache der App: die heruntergeladenen PDF-Dokumente (Abschnitt 4.4).

Sicherungen des Betriebssystems Ihres Telefons (zum Beispiel iCloud oder Google-Backup) können die Einstellungen der App enthalten. Der sichere Speicher wird nicht auf ein neues Telefon übertragen; nach einer Wiederherstellung müssen Sie sich daher neu anmelden.

4.8 Funktionen Ihres Telefons

• Zum Kalender hinzufügen. Die App übergibt die Angaben zu einem Termin an den Bildschirm «Neuer Termin» Ihrer Kalender-App. Sie entscheiden, ob Sie ihn speichern. Die App kann Ihren Kalender nicht lesen.
• Anrufen, E-Mail, Route. Wenn Sie auf Telefonnummer, E-Mail-Adresse oder Adresse Ihrer Praxis tippen, öffnet sich die passende App Ihres Telefons. Für die Route werden Name und Adresse der Praxis an den Kartendienst übergeben.
• App-Sperre. Sie können die App mit der Entsperrmethode Ihres Telefons schützen. Die Prüfung macht das Betriebssystem. Die App erhält und speichert keine biometrischen Daten.

4.9 Demo-Modus

«Mit Beispieldaten ansehen» zeigt erfundene Daten. In diesem Modus baut die App keine Verbindung zu unseren Servern auf und es werden keine Personendaten bearbeitet.

4.10 Was die App nicht tut

Die App nutzt weder Ihren Standort noch Ihre Kontakte, Kamera, Ihr Mikrofon oder Ihre Fotos. Sie enthält keine Werbung, keine Analysewerkzeuge und kein Tracking. Sie liest Ihren Kalender nicht.

5. Rechtsgrundlagen

Schweiz (nDSG). Ihre Praxis bearbeitet Ihre Daten, um den Behandlungsvertrag und die dazugehörige Administration (Termine, Rechnungsstellung) zu erfüllen. Die Bearbeitung ist rechtmässig, verhältnismässig und transparent. Soweit die Nutzung der App darüber hinausgeht, beruht sie auf Ihrem freien Entscheid, die App zu nutzen und jederzeit wieder zu beenden, und auf dem berechtigten Interesse der Praxis und von uns an sicherer, effizienter Kommunikation und an der Sicherheit des Dienstes.

EU/EWR (DSGVO). Ihre Praxis stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag, Abwicklung der Behandlung), Art. 6 Abs. 1 lit. c (rechtliche Pflichten, zum Beispiel Buchführung) und für Sicherheits- und Zugriffsprotokolle auf Art. 6 Abs. 1 lit. f (berechtigtes Interesse an der Sicherheit des Dienstes). Für Gesundheitsdaten stützt sie sich auf Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung und -verwaltung unter Berufsgeheimnis) in Verbindung mit Art. 9 Abs. 3 DSGVO.

Für die App selbst (Verteilung über die Stores, Demo-Modus, Anfragen, die Sie an uns richten) stützt sich die Schweizerpunkt GmbH auf ihr berechtigtes Interesse, die App bereitzustellen und Ihnen zu antworten (Art. 6 Abs. 1 lit. f DSGVO).

6. Wer Daten erhält

• Ihre Praxis sieht alles, was in ihrer eigenen Akte steht. Sie sieht auch, dass und wann Sie die App genutzt haben.
• Schweizerpunkt GmbH betreibt die roaadent-Server als Auftragsbearbeiterin Ihrer Praxis. Wir greifen auf Patientendaten nur zu, soweit es für Betrieb, Support und Sicherheit nötig ist, und nur nach Weisung der Praxis.
• Die aktuelle Version der App verwendet keine Push-Benachrichtigungen. Neue Nachrichten Ihrer Praxis sehen Sie in der App. Führen wir Push-Benachrichtigungen über Apple (APNs) und Google (FCM) ein, passen wir diese Erklärung an, bevor die Funktion freigegeben wird (Abschnitt 12).
• Apple und Google betreiben den App Store und Google Play, das Betriebssystem, Sicherungen und, wenn Sie es in den Einstellungen Ihres Telefons erlaubt haben, Absturzberichte. Sie bearbeiten Daten nach ihren eigenen Datenschutzerklärungen und als eigene Verantwortliche.
• Apps, die Sie selbst wählen (PDF-Betrachter, Banking-App, Kalender-App, Kartendienst) erhalten die Daten, die Sie ihnen übergeben.
• Wir verkaufen keine Daten. Wir geben keine Daten für Werbung weiter. Wir erstellen keine Profile und treffen keine Entscheide, die allein auf automatisierter Bearbeitung beruhen.

7. Übermittlung ins Ausland

Die roaadent-Server stehen in der Schweiz.

Werden Personendaten in ein Land ohne angemessenes Datenschutzniveau übermittelt, sorgen wir für einen angemessenen Schutz, insbesondere durch das Swiss-US und das EU-US Data Privacy Framework, wenn die Empfängerin dafür zertifiziert ist, sonst durch die von den schweizerischen und europäischen Behörden anerkannten Standardvertragsklauseln, wo nötig mit zusätzlichen Massnahmen. Auskunft dazu erhalten Sie auf Anfrage (Abschnitt 13).

8. Wie lange wir Daten aufbewahren

Wenn Ihre Praxis Ihren App-Zugang entzieht, werden alle Sitzungen und Geräte sofort gesperrt. Daten, die die Praxis von Gesetzes wegen aufbewahren muss, bleiben im System der Praxis.

9. Sicherheit

• Die gesamte Kommunikation zwischen App und Servern ist verschlüsselt (TLS/HTTPS).
• Es gibt keine Passwörter, die gestohlen werden könnten. Die Anmeldung erfolgt durch das Scannen eines QR-Codes in Ihrer Praxis.
• Ihr Telefon ist über ein Schlüsselpaar an Ihren Zugang gebunden. Die Erneuerung der Anmeldung muss mit dem privaten Schlüssel Ihres Telefons signiert sein. Das Erneuerungs-Token ändert sich bei jeder Nutzung. Wird ein altes Token erneut verwendet, wird die ganze Sitzung sofort gesperrt.
• Einladungscodes und Erneuerungs-Token werden auf dem Server nur als geschützte Fingerabdrücke gespeichert.
• Das Zugriffs-Token lebt nur 10 Minuten und nur im Arbeitsspeicher der App.
• Die Server trennen die Praxen voneinander. Die App kann nur Ihre eigenen Daten abfragen. Praxis und Patient ergeben sich aus Ihrer Anmeldung, nicht aus der Anfrage der App.
• Die Zahl der Versuche ist bei jedem Schritt der Anmeldung und bei Anfragen allgemein begrenzt.
• Jeder Zugriff wird protokolliert (Abschnitt 4.6). Ihre Praxis kann Geräte oder Ihren ganzen Zugang jederzeit sperren.
• Sie können die App mit der Entsperrmethode Ihres Telefons schützen und sollten Ihr Telefon selbst mit einer Bildschirmsperre sichern.
• Kein System ist vollständig sicher. Geht Ihr Telefon verloren, melden Sie das Ihrer Praxis, damit sie das Gerät sperren kann.

10. Ihre Rechte

Nach dem nDSG und, soweit sie gilt, der DSGVO haben Sie das Recht auf:

• Auskunft über die Daten, die wir über Sie bearbeiten, und eine Kopie;
• Berichtigung falscher Daten (die App zeigt Ihre Stammdaten nur zum Lesen; für Änderungen wenden Sie sich an Ihre Praxis);
• Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht;
• Einschränkung der Bearbeitung;
• Datenherausgabe und -übertragung in einem gängigen elektronischen Format;
• Widerspruch gegen eine Bearbeitung, die auf berechtigten Interessen beruht.

So gehen Sie vor. Wenden Sie sich zuerst an Ihre Praxis. Sie ist die Verantwortliche und entscheidet über Ihr Begehren. Sie können auch an [email protected] schreiben; wir leiten Anfragen zu Patientendaten an Ihre Praxis weiter und unterstützen sie bei der Antwort. Den App-Zugang löschen lassen können Sie jederzeit: Bitten Sie Ihre Praxis, Ihren Zugang zu entziehen. Einzelheiten finden Sie unter https://www.schweizerpunkt.ch/roaadent/#delete-data. Sie können sich auch in der App abmelden, was die Zugangsdaten von Ihrem Telefon entfernt und die Sitzung auf dem Server beendet, und die App danach deinstallieren.

Wir beantworten Anfragen innert 30 Tagen. Möglicherweise müssen wir zuerst Ihre Identität prüfen.

Beschwerde. Sie haben das Recht, sich bei einer Datenschutzbehörde zu beschweren. In der Schweiz ist das der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch. In der EU/im EWR können Sie sich an die Aufsichtsbehörde des Landes wenden, in dem Sie wohnen oder arbeiten oder in dem der mutmassliche Verstoss stattfand.

11. Kinder

Die App richtet sich an Erwachsene. Eltern oder Erziehungsberechtigte verwalten die Daten von Kindern mit der Praxis und nutzen die App nicht für sie. Wenn Sie vermuten, dass sich ein Kind in der App angemeldet hat, melden Sie das bitte Ihrer Praxis oder uns.

12. Änderungen

Wir passen diese Erklärung an, wenn sich die App, der Dienst oder das Recht ändern. Die aktuelle Fassung ist immer unter https://www.schweizerpunkt.ch/roaadent/privacy/de/index.html und in der App verfügbar. Fügen wir eine Funktion hinzu, die neue Arten von Daten bearbeitet, passen wir diese Erklärung an, bevor die Funktion freigegeben wird.

13. Kontakt

Schweizerpunkt GmbH, Gotthelfstrasse 41, 8172 Niederglatt, Schweiz
E-Mail: [email protected]
E-Mails an diese Adresse werden von einem E-Mail-Anbieter in Deutschland bearbeitet, der über ein angemessenes Datenschutzniveau verfügt (Anhang 1 DSV).

Fragen zu Ihren Terminen, Rechnungen oder Ihrer Behandlung richten Sie bitte direkt an Ihre Zahnarztpraxis.