Datenschutzerklärung

Sehr geehrte Besucherinnen und Besucher der Website RheumaVir.de, der Schutz Ihrer persönlichen Daten ist uns sehr wichtig. Wir erläutern Ihnen nachfolgend, welche Daten wir wann und zu welchem Zweck verarbeiten. Personendaten und Gesundheitsinformationen sind im medizinischen Kontext als besonders schützenswert anzusehen. Daher wird in hohem Maße darauf geachtet, dass nur relevante Daten erhoben werden, Personen identifizierende Angaben auf das Notwendigste beschränkt werden und die Eingaben und Informationen keinen unbeteiligten Dritten zugänglich sind.

Infrastruktur

Auf die Absicherung wird bereits bei der Infrastruktur geachtet. Die verwendeten Server werden in einem nach DIN ISO/IEC 27001 zertifizierten Rechenzentrum gehostet. Die Kommunikation mit den Servern findet ohne Ausnahmen verschlüsselt statt, via SSL-/TLS-Protokoll bzw. HTTPS. Die Server befinden sich in Deutschland. Der Zugriff auf die Daten ist auf den IT-Dienstleister für evtl. Ausbau und Wartung des Registers sowie Mitglieder der Task-Force dieser Initiative (Projektteam) für die Pflege und Auswertung beschränkt.

Verantwortliche und Datenschutzbeauftragte

Verantwortlich für die Datenverarbeitung ist die Justus-Liebig-Universität Gießen, Ludwigstraße 23, 35390 Gießen, vertreten durch ihren Präsidenten.

Die behördlichen Datenschutzbeauftragten sind:

Axel P. Globuschütz
Ludwigstraße 23
35390 Gießen
Datenschutz@uni-giessen.de
Tel. 0641-99 12230

Carl Philip Bolldorf
Ludwigstraße 23
35390 Gießen
Datenschutz@uni-giessen.de
Tel. 0641-99 12270

Ausführende Stelle

Justus-Liebig-Universität Gießen
Fachbereich Medizin, Lehrstuhl für Internistische Rheumatologie, Osteologie, Physikalische Medizin an der Justus-Liebig-Universität
Studienleiterin: Dr. med. Rebecca Hasseli-Fräbel
Campus Kerckhoff
Abteilung für Rheumatologie und klinische Immunologie
Benekestraße 2-8
61231 Bad Nauheim

Zweck der Verarbeitung

Patientenumfrage zur Erfassung der Influenza-Impfung 2023/24, deren Sicherheit und Effektivität bei Personen mit rheumatischen Erkrankungen. Die TeilnehmerInnen nehmen freiwillig an einer webbasierten Umfrage teil. Nach 6 Monaten erfolgt eine Folgebefragung, um zu erfassen, ob es nach der Impfung zur Änderung der Krankheitsaktivität und/oder zu einer Influenza-Infektion gekommen ist. Die Patienten nehmen freiwillig an der Umfrage teil und werden über die Teilnahmemöglichkeit über Selbsthilfegruppen, Praxen/Kliniken, soziale Medien informiert.

Rechtsgrundlage

Vor der Teilnahme werden die Patienten über die Studie, Teilnahme und Datenschutz online informiert. Erst nach Einwilligung der Teilnahmebedingungen kann die Umfrage gestartet werden, gemäß Art. 6 Abs. 1 lit.a) DS-GVO.

Betroffene Daten:

E-Mai-Adresse, Geburtsjahr, Geschlecht, Bundesland, rheumatische Erkrankung, Begleiterkrankungen, antirheumatische Therapie, Datum der Influenza-Impfung.

Technische und organisatorische Maßnahmen zum Datenschutz

1.1. Pseudonymisierung:
– Export -> anonymisiert, De-Pseudonymisierung: Studien-Team
– Die Daten sind mittels einer UUID den Daten einer konkreten Mailadresse zuordenbar
1.2. Verschlüsselung:
– Die HTTP-Verbindung zum Server ist mittels eines SSL-Zertifikats verschlüsselt (Aussteller: Let’s Encrypt). Das Zertifikat wird automatisiert spätestens nach drei Monaten erneuert.
– Außerdem ist der Zugriff auf den Server ausschließlich via SSH möglich (RSA, SHA1/SHA2-256/SHA2-512)
– E-Mail-Versand SSL-verschlüsselt, via Datenzentrum in der EU
1.3. Gewährleistung der Integrität und Vertraulichkeit der Systeme
1.3.1. Schutz vor unbefugtem Zutritt:
– Endsysteme der Anwender sind mit Passwort und/oder biometrischen Merkmalen geschützt, bei Inaktivität werden die Geräte automatisch gesperrt.
– Bei Hetzner gehostete Server werden physisch geschützt:
Ein per Video überwachter Hochsicherheitszaun umschließt den gesamten Datacenter-Park. Zufahrten sind nur über Zutrittskontrollterminals mit Transponder bzw. Zutrittskarten möglich. Sämtliche Bewegungen werden aufgezeichnet und dokumentiert. Hochmoderne Überwachungskameras überwachen rund um die Uhr alle Zufahrten, Eingänge, Sicherheitsschleusen und Serverräume.
1.3.2. Schutz vor unbefugtem Zugriff:
– Ausschließlich Studienteilnehmer erhalten kurzzeitig eine Möglichkeit, die eigenen Daten zu vervollständigen bzw. zu korrigieren. Diese Möglichkeit gilt für 30 Minuten nach Absenden der Daten
– Bei direktem Zugriff auf die Datenbank wird für jede schreibende Operation eine Authentifizierung mittels einer Passwort-Eingabe erwartet
– Zugriff auf die Datenbank ist auf das Projektteam beschränkt
1.3.3. Schutz vor äußeren Einflüssen:
– Server wird mittels einer Firewall abgesichert, Zugriff wird auf wenige Ports beschränkt: 80, 443, 22, zufälliger Port für Monitoring
– Automatisches Monitoring der Antwort-Zeiten und -Statuscodes
– Automatische Überprüfung der SSL-Zertifikate
– Logging der auftretenden Fehler
1.3.4. Gewährleistung der Betriebssicherheit:
– Server-Software wird unregelmäßig manuell auf den neusten Stand gebracht, meist wöchentlich
– Automatisches Monitoring überwacht Hardware-Ausfälle, Speicherknappheit etc.
1.3.5. Gewährleistung der Kommunikationssicherheit:
– Firewall mit restriktiver Port-Freigabe
– Rate-Limiting der Serverzugriffe in der Anwendung
– SSH-Zugriff mittels Public-Key-Verfahren
1.4. Gewährleistung der Verfügbarkeit und Belastbarkeit der Systeme:
– Tägliche, verschlüsselte Daten-Backups auf einem unabhängigen Server (Datenbank + evtl. Uploads)
– Änderungen der Software werden im Git-Log aufgezeichnet
– getrennte Produktiv- und Test-Systeme für Wartungsarbeiten
1.5. Wiederherstellung der Daten nach Zwischenfällen:
– Die Anwendung kann aus dem Git-Repository wiederhergestellt werden
– Das Datenbank-Backup umfasst die gesamte Datenbank und kann auf einem neuen Server eingespielt werden
1.6. Regelmäßige Überprüfung und Bewertung der o. g. Maßnahmen:
– Die Maßnahmen werden fortlaufend überprüft, bewertet und auf den aktuellen Stand der Technik gebracht

2. Speicherdauer / Löschfristen
Die Aufzeichnungen werden für die Dauer von zehn (10) Jahren nach Abschluss der Studie aufbewahrt.