Datenschutzerklärung für MediCounter

MediCounter dient ausschließlich der Organisation vorhandener Medikamentenbestände. Die App bietet keine medizinischen Empfehlungen und ersetzt keine ärztliche oder pharmazeutische Beratung.

Connected befindet sich derzeit im Beta-Stadium. Bis die ausdrückliche Einwilligung vor der ersten Cloud-Verbindung und die vollständige Cloud-Löschung technisch umgesetzt sind, darf Connected nur mit Testdaten verwendet werden.

1. Verantwortlicher

2. Wofür diese Datenschutzerklärung gilt

Diese zentrale Datenschutzerklärung gilt für alle MediCounter-Apps, die unmittelbar auf sie verlinken. Dazu gehören die Windows-App sowie veröffentlichte Android- und zukünftige iOS-Versionen. Sie betrifft die Nutzung der Apps selbst.

Diese Datenschutzerklärung wird auf einer Website veröffentlicht. Für den Besuch dieser Website gilt zusätzlich die separate Datenschutzerklärung der Website. Angaben zum Hosting dieser Veröffentlichungsseite, zum Beispiel über Vercel, gehören in die Datenschutzerklärung der Website und nicht in diese appbezogene Datenschutzerklärung.

3. Welche Daten MediCounter verarbeitet

MediCounter verarbeitet nur die Daten, die für die Nutzung der App-Funktionen erforderlich sind. Dazu können insbesondere gehören:

• angelegte Personenprofile
• eingetragene Medikamenten- und Bestandsinformationen
• lokale App-Einstellungen
• technische Diagnosedaten im Rahmen eines lokalen Fehlerprotokolls
• bei Connected: Geräte- und Verbindungskennungen, Sitzungsdaten, Zeitstempel und technisch notwendige Verbindungsdaten
• bei Connected: Ende-zu-Ende-verschlüsselte Bestands- und Personendaten

4. Zweck der Verarbeitung

Die Verarbeitung erfolgt, um die Funktionen von MediCounter bereitzustellen, insbesondere:

• zur Verwaltung von Medikamentenbeständen pro Person
• zum Speichern und Anzeigen der vom Nutzer eingegebenen Daten
• zur technischen Stabilität und Fehleranalyse der App
• bei Connected: zur Herstellung der Verbindung und Synchronisierung zwischen verbundenen Installationen

5. Rechtsgrundlagen

Soweit MediCounter personenbezogene Daten zur Bereitstellung der vom Nutzer gewünschten App-Funktionen verarbeitet, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit Bestandsdaten Rückschlüsse auf die Gesundheit einer Person zulassen, setzt ihre Verarbeitung im Connected-Modus eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO voraus. Diese Einwilligung muss vor der ersten Cloud-Verbindung eingeholt und mit Version und Zeitpunkt lokal dokumentiert werden. Sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Technische Diagnosedaten werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet.

6. Offline-Betrieb und lokale Datenspeicherung

Im Offline-Betrieb speichert MediCounter App-Daten ausschließlich lokal auf dem jeweiligen Gerät beziehungsweise im zugehörigen Benutzerprofil. Es erfolgt keine automatische Cloud-Synchronisierung.

Solange Connected nicht eingerichtet und verwendet wird, überträgt MediCounter keine Bestands- oder Personendaten an den Connected-Dienst.

7. Connected-Modus mit Cloudflare Workers und D1

Connected ist eine freiwillige Online-Funktion; MediCounter bleibt ohne Connected lokal nutzbar. Erst wenn eine Verbindung aktiv eingerichtet wird, sendet die App Anfragen an eine API auf Cloudflare Workers. Anschließend synchronisiert die App Änderungen automatisch, solange Connected aktiv ist. Der Worker verarbeitet die Verbindungs- und Synchronisierungslogik; die verschlüsselten Datensätze werden in Cloudflare D1 gespeichert.

Die Bestands- und Personendaten werden vor der Übertragung auf dem Endgerät Ende-zu-Ende verschlüsselt. Beim Koppeln wird der Schlüssel als zusätzlich verschlüsselter Einmal-Payload über Cloudflare an das neue Gerät transportiert; er wird Cloudflare und dem Betreiber nicht im Klartext bereitgestellt. Außerhalb dieses Kopplungsvorgangs bleibt der Schlüssel lokal auf den verbundenen Geräten. Workers und D1 verarbeiten beziehungsweise speichern nur verschlüsselte Inhalte. Ohne den lokalen Schlüssel kann der Betreiber diese Inhalte nicht entschlüsseln oder wiederherstellen.

Unabhängig von der Inhaltsverschlüsselung fallen für den technischen Betrieb Metadaten an. Dazu können Geräte- und Verbindungskennungen, Sitzungs- und Sicherheitsinformationen, IP-Adresse, Anfragezeitpunkte sowie technische Fehlerdaten gehören. Cloudflare verarbeitet diese Daten als technischer Dienstleister und Auftragsverarbeiter. D1 verschlüsselt gespeicherte Daten nach Angaben von Cloudflare zusätzlich bei der Speicherung und bei der Übertragung innerhalb der Cloudflare-Infrastruktur.

Anbieter ist Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Workers kann Anfragen im globalen Cloudflare-Netzwerk verarbeiten. Der Speicherort von D1 richtet sich nach der Konfiguration der Datenbank; eine ausschließliche Speicherung in der EU ist nur bei einer entsprechend eingerichteten EU-Jurisdiktion zugesichert. Eine Verarbeitung außerhalb der EU oder des EWR kann daher nicht ausgeschlossen werden. Cloudflare stellt hierfür ein Data Processing Addendum und EU-Standardvertragsklauseln bereit.

Weitere Informationen: Cloudflare Privacy Policy · Cloudflare DPA

8. Empfänger und Weitergabe

Eine automatische Weitergabe von App-Daten an externe Empfänger findet nicht statt. Daten verlassen die App nur, wenn Nutzer dies selbst aktiv auslösen, etwa durch:

• die Nutzung des Connected-Modus über Cloudflare
• das Erstellen eines Backups oder Exports
• das manuelle Versenden einer Feedback-E-Mail
• das Öffnen externer Seiten wie PayPal im Browser

9. Feedback per E-Mail

Die Feedbackfunktion öffnet das auf dem Gerät eingerichtete E-Mail-Programm und bereitet eine Nachricht an den Entwickler vor. Je nach Plattform können technische Angaben wie die MediCounter-Version und die Betriebssystemversion automatisch eingefügt werden.

Personen- oder Bestandsdaten werden dabei nicht automatisch eingefügt. Eine Übermittlung erfolgt erst, wenn der Nutzer die E-Mail selbst absendet. Ab diesem Zeitpunkt erfolgt die Verarbeitung über den jeweils genutzten E-Mail-Anbieter.

10. Lokales Diagnoseprotokoll

MediCounter kann ein lokales, größenbegrenztes Diagnoseprotokoll führen, um technische Fehler nachvollziehbar zu machen. Dieses Protokoll kann insbesondere Zeitpunkte, App-Versionen und technische Fehlerkennungen enthalten.

Nach aktuellem Stand sollen darin keine Namen, Medikamentendaten, Dateiinhalte oder frei eingegebenen Texte protokolliert werden. Das Protokoll wird nicht automatisch an den Entwickler übermittelt.

Bei der Nutzung von Connected können zusätzlich technische Aufruf-, Fehler- und Sicherheitsdaten in Cloudflare Workers anfallen. Bestands- und Personendaten sollen nicht gezielt in Anwendungslogs geschrieben werden.

11. Geräteberechtigungen

Je nach Plattform und genutzter Funktion kann MediCounter folgende Berechtigungen anfordern:

• Kamera: ausschließlich zum Scannen von QR-Codes beim Koppeln von Geräten
• Benachrichtigungen: zur Anzeige lokaler Bestandswarnungen
• Start nach Geräteneustart: zur Wiederherstellung zuvor eingerichteter lokaler Warnungen
• Netzwerkzugriff: für Connected, Synchronisierung und das Öffnen externer Links

12. Daten anderer Personen

MediCounter ermöglicht Profile für Familienmitglieder oder andere Personen. Nutzer dürfen solche Daten nur eintragen und über Connected synchronisieren, wenn sie dazu berechtigt sind und die betroffene Person erforderlichenfalls informiert wurde oder eingewilligt hat.

13. Backups und Exporte

Wenn Nutzer Backups oder Exporte erstellen, können diese Dateien personenbezogene oder gesundheitsbezogene Inhalte enthalten. Für die sichere Aufbewahrung, Weitergabe und Löschung solcher Dateien ist der Nutzer selbst verantwortlich.

14. Externe Dienste

Soweit MediCounter externe Seiten oder Dienste öffnet, etwa eine PayPal-Seite zur freiwilligen Unterstützung, gelten ab diesem Zeitpunkt die Datenschutzbestimmungen des jeweiligen Drittanbieters.

15. Speicherdauer und Löschung

Die in MediCounter gespeicherten Daten bleiben grundsätzlich so lange lokal gespeichert, bis sie vom Nutzer innerhalb der App oder durch Entfernen der lokalen Anwendungsdaten gelöscht werden.

Verschlüsselte Connected-Daten werden in D1 nur so lange gespeichert, wie sie für die aktive Verbindung und Synchronisierung benötigt werden. Bis eine vollständige Cloud-Löschung in der App verfügbar ist, kann sie unter Angabe der Connected-Kennung per E-Mail an den Verantwortlichen verlangt werden. Das bloße Entfernen eines Geräts oder lokaler Zugangsdaten löscht den Cloud-Haushalt nicht. D1 verfügt über eine automatische Wiederherstellungsfunktion (Time Travel), durch die gelöschte oder geänderte Datenbankstände je nach Cloudflare-Tarif noch bis zu 7 beziehungsweise 30 Tage wiederherstellbar sein können. Lokale App-Daten und lokal gespeicherte Schlüssel müssen auf den jeweiligen Geräten separat gelöscht werden.

16. Rechte betroffener Personen

Sofern personenbezogene Daten verarbeitet werden, bestehen nach der DSGVO insbesondere folgende Rechte:

• Recht auf Auskunft
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Widerspruch
• Recht auf Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde

17. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Datenflüsse oder technische Rahmenbedingungen von MediCounter ändern.