Zur Startseite

Datenschutzerklärung Forschungsportal

Stand: 09.11.2026

Im Forschungsportal der Vera-App (forschung.veraapp.de) bereitest du deine Teilnahme an der Studie der Vera-App vor, kannst dich zur Studie der Vera-App, zu Befragungen und zu Nutzertests einladen lassen und einen Nachweis deiner Diagnose bei deiner Praxis anfordern. Hier steht, welche Daten wir dafür verarbeiten, warum, wie lange und welche Rechte du hast. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst. Weil es um deine Gesundheit geht, behandeln wir sie besonders sorgfältig.

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung in diesem Portal ist:

Endo Health GmbHTheaterstraße 5609111 Chemnitz

Handelsregister: HRB 33447, Amtsgericht ChemnitzVertreten durch: Dr. med. Nadine RohloffTelefon: 0371 335603 00E-Mail: info@endometriose.app

Datenschutzbeauftragter:

Markus RothenhöferE-Mail: datenschutz@endometriose.app

2. Wofür verwenden wir deine Daten?

• Anmeldung: Du meldest dich mit deiner E-Mail-Adresse an. Wir schicken dir dafür einen Anmeldelink und einen Code. Ein Passwort gibt es nicht.
• Anmeldung ohne Einladung: Du kannst dich auch ohne Einladung anmelden, zum Beispiel wenn du über eine Anzeige zu uns kommst. Dafür reicht deine E-Mail-Adresse. Wir legen dabei eine Einladung mit dem Vermerk an, dass du dich selbst angemeldet hast, und schicken dir den Anmeldelink. Wie bei jeder Anmeldung begrenzen wir, wie oft ein Anmeldelink angefordert werden kann (siehe „Schutz vor Missbrauch“). Ein Brief an deine Praxis geht auch dann nur nach deiner Einwilligung und deiner Unterschrift raus.
• Deine Angaben: Wir speichern sie, damit du sie nicht mehrfach eingeben musst und damit wir dich zu passender Forschung einladen können.
• Einladungen: Wenn du es auswählst, laden wir dich per E-Mail zur Studie der Vera-App, zu Befragungen und zu Nutzertests für neue Funktionen ein. Ab und zu leiten wir dir auch Einladungen zu Studien anderer Forschungsteams weiter. Dabei geben wir deine Daten nicht an diese Teams weiter; ob du teilnimmst, entscheidest du selbst. Deine Auswahl kannst du jederzeit ändern.
• Stand deines Nachweises: Das Portal zeigt dir, wie weit deine Anfrage bei der Praxis ist, und hält fest, ob deine Diagnose nach deiner Angabe schon ärztlich gestellt wurde, ob du schon eine schriftliche Bescheinigung hast und ob die Bescheinigung deiner Praxis angekommen ist. Ohne diese Angabe verschicken wir keinen Brief.
• Unterlagen hochladen (freiwillig): Wenn du willst, kannst du genau ein Dokument hochladen, das deine Diagnose belegt, zum Beispiel die Bescheinigung deiner Praxis oder einen Arztbrief. So hast du den Nachweis bereit, wenn eine Studie ihn braucht. Bitte lade nur dieses Dokument hoch, nicht deine Krankengeschichte; was für die Diagnose nicht wichtig ist, darfst du schwärzen. Du kannst das Dokument jederzeit ansehen, herunterladen, ersetzen oder löschen. Berechtigte Mitarbeitende sehen sich hochgeladene Dokumente stichprobenartig an, um zu prüfen, ob sie eine ärztliche Diagnose belegen; das ist keine ärztliche Prüfung. Passt ein Dokument nicht, bitten wir dich im Portal um ein anderes. Wir geben das Dokument an niemanden weiter, auch nicht an Studienteams.
• Brief an deine Praxis: Wenn du es willst, erstellen wir in deinem Namen einen Brief an die von dir gewählte Praxis, mit der Bitte um eine ärztliche Bestätigung deiner Diagnose und einem vorausgefüllten Vordruck. Wir versenden ihn nach deiner Unterschrift per Post.
• Erinnerung: Wenn du uns nicht gemeldet hast, dass deine Bescheinigung da ist, fragen wir frühestens 45 Tage nach deinem letzten Brief per E-Mail nach und, falls nötig, ein letztes Mal frühestens 45 Tage nach dieser Mail. Insgesamt fragen wir höchstens zweimal nach. Über einen Knopf in der Mail kannst du uns sagen, ob die Bescheinigung da ist.
• Termin zur Abklärung: Wenn bei dir noch keine Diagnose gestellt wurde, kannst du im Portal deinen Termin selbst vorbereiten. Wenn du uns sagst, dass du einen Termin vereinbarst, fragen wir dich drei Wochen danach einmal per E-Mail, ob die Diagnose inzwischen gestellt wurde, damit du dann den Nachweis anfordern kannst. Das Portal stellt keine Diagnose; die stellt deine Praxis im Gespräch.
• Beschwerde-Check: Mit wenigen Fragen zu deinen Beschwerden bekommst du eine persönliche Auswertung. Der Check prüft nicht, ob du an der Studie teilnehmen kannst; das klärt allein das Studienteam. Deine Antworten bleiben in deinem Browser: Wir speichern sie nicht auf unseren Servern, übertragen sie nicht und übernehmen sie nicht in das Portal. Damit dein Ergebnis nicht verloren geht, wenn du zwischendurch in dein E-Mail-Postfach wechselst, legt dein Browser die Antworten und deine E-Mail-Adresse erst ab dem Absenden deiner Adresse bis zur Anzeige des Ergebnisses im Sitzungsspeicher dieses Browser-Tabs ab (`sessionStorage`, Eintrag `sp_check`). Der Eintrag ist nur in diesem Tab lesbar und verlässt dein Gerät nicht. Er wird gelöscht, sobald das Ergebnis erscheint, wenn du den Check neu startest, wenn du den Check vor der Code-Eingabe verlässt und spätestens beim ersten Seitenaufruf nach 60 Minuten; mit dem Schließen des Tabs verschwindet er ohnehin. Für den Hinweis zu deinem Smartphone im Ergebnis liest dein Browser Betriebssystem und Version deines Geräts aus (bei Android-Geräten über die Browser-Schnittstelle „Client Hints“), um zu prüfen, ob die Vera-App darauf läuft; auch das bleibt in deinem Browser. Für die Auswertung meldest du dich mit deiner E-Mail-Adresse und einem Code an; damit entsteht dein Konto im Forschungsportal (siehe unten). Wir zählen nur ohne Bezug zu dir, wie oft der Check begonnen wurde, wie oft alle Fragen beantwortet, die E-Mail-Adresse abgeschickt, der Code bestätigt und das Ergebnis angezeigt wurde, je Tag als Summe.
• Schutz vor Missbrauch: Wir begrenzen, wie oft Anmeldelinks angefordert und Briefe verschickt werden können, damit das Portal nicht missbraucht wird. Dazu verwenden wir einen Kurzwert (Hash) deiner IP-Adresse, aus dem sich die Adresse nicht zurückrechnen lässt.
• Portal verbessern und Werbung messen: Wir zählen ohne Bezug zu dir, wie oft die einzelnen Seiten des Portals aufgerufen werden. Ebenso zählen wir ohne Bezug zu dir, wie oft zum ersten Mal ein Dokument hochgeladen wird; das geben wir nicht an Werbepartner weiter. Nur wenn du in den Cookie-Einstellungen zustimmst, werten wir zusätzlich einzelne Besuche aus (Statistik) oder messen mit Meta, ob unsere Werbung wirkt (Marketing). Einzelheiten stehen in Abschnitt 5.
• Überblick für das Forschungsteam: Berechtigte Mitarbeitende der Endo Health GmbH sehen in einem internen Bereich, wie viele Frauen sich angemeldet haben, ihre Angaben gemacht haben, einen Brief verschickt haben oder die Bescheinigung haben. Sie sehen dort auch deine Angaben und deine Auswahl zu den Einladungen und können sie exportieren, um dich zu passender Forschung einzuladen. Hochgeladene Dokumente stehen dort in einer Liste ohne deinen Namen; das Dokument selbst kann deinen Namen enthalten, etwa wenn er auf der Bescheinigung steht. Jedes Ansehen und jede Bewertung wird mit Person und Zeitpunkt protokolliert.

Im Forschungsportal werden keine Studiendaten erhoben. Daten einer Studie verarbeitet das jeweilige Studienteam nach eigener Information und Einwilligung.

Für die Anmeldung zur Studie verlinkt das Portal auf die Studienseite der Vera-App unter veraapp.de. Über diesen Link übermitteln wir keine Angaben aus dem Portal, nur feste Kampagnenangaben (`utm_source`, `utm_medium`, `utm_campaign`), an denen die Studienseite erkennt, dass du aus dem Portal kommst. Für die Anmeldung dort gilt die Datenschutzerklärung von veraapp.de.

3. Welche Daten verarbeiten wir?

• Einladung: deine E-Mail-Adresse, woher sie stammt (zum Beispiel Studien-Voranmeldung oder Anmeldung ohne Einladung), wann du dich zum ersten und zum letzten Mal angemeldet hast und ob wir dir die Nachricht vor der Löschung geschickt haben.
• Übernahme der Studienliste: Wenn du dich auf veraapp.de für die Studie vorangemeldet und deine E-Mail-Adresse bestätigt hast, übernehmen wir deine E-Mail-Adresse aus der Liste der Studien-Voranmeldung bei unserem Newsletter-Dienst Brevo als Einladung in das Portal. So kannst du dich anmelden, ohne dich erneut einzutragen. Wir übernehmen nur die E-Mail-Adresse und nur, wenn du dich bei Brevo nicht abgemeldet hast und deine Adresse dort nicht gesperrt ist. Dabei schicken wir dir keine E-Mail; einen Anmeldelink bekommst du erst, wenn du ihn selbst anforderst. Grundlage ist wie bei den übrigen Einladungen deine Voranmeldung für Studien und unser berechtigtes Interesse, dir den Zugang ohne erneute Eintragung zu ermöglichen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen (Abschnitt 9); dann löschen wir die Einladung.
• Anmeldung: E-Mail-Adresse, einmaliger Code (nur als Kurzwert gespeichert, höchstens 15 Minuten gültig) und deine Sitzung. Zur Sitzung speichert die Anmeldung auch IP-Adresse und Browserkennung (User-Agent).
• Deine Angaben: Anrede, Vorname, Nachname, Geburtsdatum, Anschrift, optional Telefonnummer, dazu Zeitpunkt und Textfassung deiner Einwilligung.
• Einladungen: ob du Einladungen zur Studie der Vera-App, zu Befragungen und Nutzertests oder zu Studien anderer Forschungsteams bekommen möchtest, wann du die Auswahl zuletzt geändert hast und in welcher Textfassung.
• Praxis: die von dir gewählte oder eingegebene Praxis mit Anschrift.
• Status: ob du angibst, dass eine Ärztin oder ein Arzt Wechseljahresbeschwerden bei dir schon festgestellt hat (mit Zeitpunkt deiner Antwort), ob du angibst, schon eine schriftliche Diagnose zu haben, und ob du angibst, die Bescheinigung erhalten zu haben (mit Zeitpunkt), dazu wie viele Erinnerungen wir dir geschickt haben und wann zuletzt.
• Hochgeladenes Dokument (nur wenn du eines hochlädst): die Datei selbst, Dateityp, Größe, Zeitpunkt des Uploads, Zeitpunkt und Textfassung deiner Einwilligung, Ergebnis der Stichprobe (plausibel oder passt nicht) mit Zeitpunkt und prüfender Person und ein Protokoll, wer das Dokument wann angesehen oder bewertet hat. Den Namen deiner Datei speichern wir nicht; die Datei liegt unter einer zufälligen Kennung. Ob du zum ersten Mal ein Dokument hochgeladen hast, halten wir in deinem Profil fest, damit der Zähler aus Abschnitt 2 dich nur einmal zählt.
• Weg ohne Diagnose: ob und wann du angegeben hast, einen Termin selbst zu vereinbaren, und ob und wann wir dir die Nachfrage nach drei Wochen geschickt haben.
• Brief: Empfänger-Praxis, Zeitpunkt und Version deiner Einwilligung, Versandstatus, Auftragsnummer des Versanddienstes, IP-Hash. Der Brief enthält deine Angaben, deine E-Mail-Adresse, die Bitte um eine Diagnosebestätigung, weil du an der Studie der Vera-App teilnehmen möchtest, und den Hinweis, dass keine Verordnung der Vera-App gewünscht ist, und deine Unterschrift.
• Nicht gespeichert: Das Brief-PDF und deine Unterschrift speichern wir nicht. Wir erzeugen sie für den Versand, übergeben sie an den Versanddienst und verwerfen sie danach.

4. Auf welcher Grundlage verarbeiten wir deine Daten?

Deine Angaben, deine Auswahl zu den Einladungen, die Praxis, der Status und der Brief gehören zum Teil zu den besonderen Kategorien personenbezogener Daten (Gesundheitsdaten): Schon dass du im Forschungsportal bist, kann etwas über deine Gesundheit aussagen. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und Art. 6 Abs. 1 lit. a DSGVO.

• Einwilligung für das Portal: Du gibst sie in einem eigenen Schritt direkt nach deiner ersten Anmeldung ab, indem du das Häkchen setzt. Das geschieht, bevor wir Angaben zu deiner Gesundheit speichern. Ohne sie speichern wir weder deine Angaben noch deine Auswahl zu den Einladungen noch eine Praxis noch Angaben zum Stand deiner Bescheinigung. Wir speichern, wann du eingewilligt hast und in welcher Textfassung. Du kannst die Einwilligung jederzeit widerrufen: Schreib dafür an datenschutz@endometriose.app (siehe Abschnitt 10).
• Einladungen: Ob wir dich zu Studien, Befragungen und Nutzertests einladen oder Einladungen anderer Forschungsteams weiterleiten dürfen, wählst du freiwillig und für jede Art einzeln aus. Nichts ist vorausgewählt. Ohne Auswahl bekommst du keine Einladungen. Du kannst deine Auswahl jederzeit auf der Übersicht ändern.
• Auftrag und Einwilligung für den Brief: Der Brief an deine Praxis ist ein eigener Schritt. Bevor du ihn absendest, erteilst du uns dort einen gesonderten Versandauftrag und eine weitere Einwilligung. Auch dafür speichern wir Zeitpunkt und Textfassung.
• Einwilligung für den Upload: Bevor du ein Dokument hochlädst, gibst du dafür eine eigene, ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und Art. 6 Abs. 1 lit. a DSGVO, indem du das Häkchen setzt. Wir speichern Zeitpunkt und Textfassung. Der Upload ist freiwillig; ohne ihn hast du keine Nachteile, auch nicht beim Brief an deine Praxis. Du kannst die Einwilligung jederzeit widerrufen, indem du das Dokument im Portal löschst oder an datenschutz@endometriose.app schreibst.

Für die technisch notwendige Verarbeitung (Anmeldung, Sitzung, Schutz vor Missbrauch, Sicherheit des Portals) ist die Grundlage unser berechtigtes Interesse an einem sicheren und funktionierenden Portal nach Art. 6 Abs. 1 lit. f DSGVO.

Die Angabe deiner Daten ist freiwillig. Ohne deine Angaben und deine Einwilligung können wir allerdings keinen Brief für dich erstellen.

5. Cookies, Statistik und Werbung

Notwendig: Für die Anmeldung setzen wir ein Sitzungs-Cookie. Es merkt sich, dass du angemeldet bist, und läuft 30 Tage nach der letzten Nutzung ab. Deine Auswahl in den Cookie-Einstellungen speichern wir im Cookie `sp_consent` (180 Tage). Außerdem zählen wir je Tag, wie oft jede Seite des Portals aufgerufen wird. Diese Zähler enthalten nur eine feste Nummer der Seite und das Datum, keine Kennung, keine IP-Adresse und nichts auf deinem Gerät; sie lassen sich keiner Person zuordnen. Grundlage: § 25 Abs. 2 Nr. 2 TDDDG und unser berechtigtes Interesse an einem funktionierenden, verständlichen Portal (Art. 6 Abs. 1 lit. f DSGVO).

Cookie-Einstellungen: Wenn du zum ersten Mal einen Anmeldelink anforderst, dich anmeldest oder den Nachweis bei deiner Praxis anforderst, fragen wir dich, ob du zusätzlich Statistik und Marketing erlaubst. Du kannst „Alle akzeptieren“, „Nur Statistik“ oder „Nur notwendige“ wählen. Deine Wahl kannst du jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite ändern oder widerrufen. Die Einwilligung in die Verarbeitung deiner Gesundheitsdaten (Abschnitt 4) ist davon getrennt und bleibt unverändert.

Deine Antworten zu Beschwerden geben wir nie an Werbepartner weiter. Das gilt auch für deine Angaben, deine Praxis, deinen Brief, deine Antworten im Beschwerde-Check und die Frage nach deiner Diagnose.

Statistik (nur mit Einwilligung): Zusätzlich zu den Zählern speichern wir in unserer eigenen Datenbank, welche Seiten in welcher Reihenfolge aufgerufen, verlassen oder wieder geöffnet wurden und wie lange du ungefähr auf einer Seite warst, dazu die Geräteart (Handy oder Computer) und die Bildschirmbreite in groben Klassen. Dafür legen wir in deinem Browser eine zufällige Sitzungskennung ab (`sp_fsid`). Sie ist nicht mit deinem Konto oder deinen Angaben verknüpft. Keine IP-Adresse, keine Inhalte. Grundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Speicherdauer: 12 Monate.

Marketing (nur mit Einwilligung): Wir messen, ob unsere Werbung auf Facebook und Instagram dazu führt, dass sich Frauen im Portal anmelden und den Nachweis anfordern. Dafür nutzen wir das Meta-Pixel und die Meta Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Das Pixel lädt erst nach deiner Einwilligung und nur auf Seiten, deren Adresse nichts über deine Gesundheit verrät; es liest keine Knopftexte oder Formulare mit. An Meta übermitteln wir nur wenige neutrale Ereignisse: „forschung_lead“ bei deiner ersten Anmeldung mit bestätigter E-Mail-Adresse und „forschung_anfrage“, wenn du zum ersten Mal angibst, dass deine Diagnose schon ärztlich gestellt wurde oder du schon eine schriftliche Bescheinigung hast, einen Brief an deine Praxis schicken lässt oder dich entscheidest, deinen Termin selbst zu vereinbaren. Dieses Ereignis entsteht höchstens einmal und heißt immer gleich, egal welcher dieser Schritte es ausgelöst hat. Beim Beschwerde-Check meldet nur das Pixel in deinem Browser, dass der Check begonnen („forschung_check_start“) und alle Fragen beantwortet wurden („forschung_check_fertig“), ohne deine Antworten, ohne das Ergebnis und ohne Angaben zu deinem Gerät. Beim Laden auf einer dieser neutralen Seiten meldet das Pixel außerdem einen Seitenaufruf („forschung_seite“). Dass du ein Dokument hochlädst, erfährt Meta nicht. Wenn wir das einschalten, speichern wir mit deiner Einwilligung Marketing die Kampagnenangaben deines ersten Besuchs (`utm_source`, `utm_medium`, `utm_campaign`) einmalig bei deiner Einladung, um auszuwerten, über welche Kampagne Frauen bis zum Nachweis kommen. Ausgewertet wird nur als Summe je Kampagne. Deine Antwort und ob deine Diagnose schon ärztlich gestellt wurde, geben wir nicht an Meta weiter. Dazu gehören eine zufällige Ereignisnummer, Zeitpunkt, eine feste Seitenadresse, deine IP-Adresse und Browserkennung, und die Meta-Cookies `_fbp` und `_fbc`. Deine E-Mail-Adresse geben wir nicht an Meta weiter, auch nicht verschlüsselt oder als Kurzwert. Kampagnenangaben aus dem Link, über den du gekommen bist (zum Beispiel `fbclid` oder `utm_source`), halten wir bis zu deiner Einwilligung nur im Arbeitsspeicher deines Browsers und verwerfen sie ohne Einwilligung. Mit Einwilligung speichern wir sie in deinem Browser (`sp_attr`), setzen bei einer Meta-Klickkennung das Cookie `_fbc` (90 Tage) und nehmen die Kampagnenangaben in die Statistik auf. Das Pixel selbst setzt das Cookie `_fbp` (90 Tage). Nimmst du die Einwilligung zurück, löschen wir diese Angaben in deinem Browser und, wenn du dabei angemeldet bist, auch die Kampagnenangaben bei deiner Einladung; sonst bei deinem nächsten Besuch mit Anmeldung. Grundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Unser Protokoll der gesendeten Ereignisse (Ereignisnummer, Art, Zeitpunkt, Antwort von Meta) löschen wir nach 13 Monaten.

Für die Erhebung und Übermittlung dieser Daten an Meta sind wir und Meta Platforms Ireland Limited gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu steht in Metas Zusatz für Verantwortliche (https://www.facebook.com/legal/controller_addendum). Meta ist danach für die Information über die eigene Verarbeitung und für deine Rechte gegenüber Meta zuständig; du kannst dich mit deinen Rechten aber auch an uns wenden. Was Meta danach mit den Daten macht, verantwortet Meta allein (https://www.facebook.com/privacy/policy/). Meta kann Daten an die Meta Platforms Inc. in den USA übermitteln; Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

6. Dienstleister, die in unserem Auftrag arbeiten

Mit unseren Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Sie verarbeiten deine Daten nur nach unseren Weisungen.

• Vercel (Hosting): Das Portal läuft bei Vercel in der Region Frankfurt. Vercel verarbeitet dabei technische Verbindungsdaten wie deine IP-Adresse in Server-Logfiles. Anbieter ist die Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Da Vercel ein Unternehmen mit Sitz in den USA ist, lässt sich ein Zugriff aus einem Drittland nicht vollständig ausschließen. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: https://vercel.com/legal/privacy-policy.
• Amazon Web Services (Datenbank, Dateien und E-Mail): Deine Daten liegen in einer Datenbank bei Amazon Web Services im Rechenzentrum Frankfurt (Region eu-central-1). Hochgeladene Dokumente speichern wir verschlüsselt in Amazon S3, ebenfalls in Frankfurt. Der Speicher ist nicht öffentlich erreichbar; Links zum Ansehen oder Herunterladen gelten 60 Sekunden. Wenn du ein Dokument löschst, löschen wir die Datei sofort; es gibt keine älteren Fassungen. Den Anmeldelink verschicken wir über Amazon Simple Email Service (Amazon SES), ebenfalls in Frankfurt; der Dienst erhält dafür deine E-Mail-Adresse und den Inhalt der Anmelde- und Erinnerungsmails sowie der Nachricht vor der Löschung. Klicks und Öffnungen der Mail werden nicht ausgewertet. Anbieter und Vertragspartner: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Die Muttergesellschaft sitzt in den USA. Ein Zugriff aus einem Drittland lässt sich nicht vollständig ausschließen. Amazon ist unter dem EU-U.S. Data Privacy Framework zertifiziert.
• Brevo (Liste der Studien-Voranmeldung): Die Liste der Studien-Voranmeldung führen wir bei unserem Newsletter-Dienst Brevo. Für die Übernahme in das Portal (Abschnitt 3) lesen wir dort nur E-Mail-Adressen aus. Das Portal selbst fragt bei deiner Anmeldung nicht bei Brevo an, schickt keine Daten aus dem Portal an Brevo und versendet über Brevo keine Mails. Anbieter: Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin. Verarbeitung in der EU.
• emailbrief.de (Briefversand): Den Brief an deine Praxis lassen wir über emailbrief.de drucken und per Post versenden. Der Dienst erhält dafür das Brief-PDF mit deinen Angaben und deiner Unterschrift sowie die Anschrift der Praxis. Anbieter: EMAILBRIEF GmbH, Von-Ketteler-Straße 45, 67112 Mutterstadt. Verarbeitung in Deutschland. Speicherdauer dort: Das Brief-PDF löscht EMAILBRIEF spätestens fünf Minuten nach dem Druck; Auftragsdaten bewahrt EMAILBRIEF auf, solange gesetzliche Aufbewahrungspflichten das verlangen.

7. Wer bekommt deine Daten noch?

• Deine Praxis: Sie erhält den Brief mit deinen Angaben (Name, Geburtsdatum, Anschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, Unterschrift) und dem Vordruck. Ab dort verantwortet die Praxis den Umgang mit dem Brief selbst. Gedruckt und verschickt wird er von EMAILBRIEF GmbH (Abschnitt 6). Das Brief-PDF und deine Unterschrift speichern wir nicht.
• Forschungsteam: Berechtigte Mitarbeitende der Endo Health GmbH, die für Forschung und das Portal zuständig sind, können deine Daten im internen Bereich einsehen. Hochgeladene Dokumente stehen dort in einer Liste ohne deinen Namen; das Dokument selbst kann deinen Namen enthalten. Jedes Ansehen wird protokolliert.
• Andere Forschungsteams: Sie bekommen keine Daten von dir. Wir leiten dir nur ihre Einladung weiter, wenn du das ausgewählt hast.
• Studienteams: Studienteams, auch unsere eigenen, bekommen keine Daten aus dem Forschungsportal. Das gilt auch für ein Dokument, das du im Portal hochgeladen hast. Nimmst du an einer Studie teil, gibst du dort deine Daten neu an und erhältst eine eigene Information und Einwilligung. Einen Diagnosenachweis kannst du dort selbst hochladen, wenn die Studie danach fragt.
• Meta: Nur wenn du Marketing erlaubst, bekommt Meta Platforms Ireland Limited die in Abschnitt 5 genannten Daten zu den dort genannten neutralen Ereignissen. Darüber hinaus geben wir keine Daten zu Werbezwecken weiter.

8. Wie lange speichern wir deine Daten?

• Deine Angaben, Auswahl zu den Einladungen, Praxis, Status, gewählter Weg, Erinnerungen und Nachfrage, Brief-Protokoll, hochgeladenes Dokument und Einladung: Dein Zugang und deine Angaben werden gelöscht, wenn du es verlangst, spätestens aber nach einem Jahr ohne Anmeldung. Etwa 30 Tage vorher schicken wir dir eine E-Mail; meldest du dich danach an, bleibt dein Zugang bestehen. Warst du bei der Umstellung auf diese Frist schon länger als ein Jahr nicht angemeldet, bekommst du zuerst diese E-Mail; dein Zugang wird frühestens 30 Tage danach gelöscht.
• Hochgeladenes Dokument: bis du es löschst oder ersetzt, spätestens mit deinem Zugang. Eine ersetzte Datei löschen wir sofort. Angefangene Uploads, die nicht abgeschlossen wurden, löschen wir nach 24 Stunden.
• Protokoll der Zugriffe auf dein Dokument: solange diese Fassung des Dokuments gespeichert ist. Ersetzt oder löschst du das Dokument, löschen wir das Protokoll mit.
• IP-Hash zum Brief: höchstens 30 Tage, danach ersetzen wir ihn.
• Zähler für die Begrenzung von Anmeldungen: höchstens 30 Tage.
• Anmeldecodes: werden nach Ablauf (15 Minuten) gelöscht.
• Einladung aus einer Anmeldung ohne Einladung, deren Anmeldelink nie eingelöst wurde (etwa bei einem Tippfehler in der Adresse): nach 30 Tagen gelöscht.
• Sitzungen mit IP-Adresse und Browserkennung: Eine Sitzung läuft 30 Tage nach der letzten Nutzung ab; abgelaufene Sitzungen löschen wir.
• Server-Logfiles bei Vercel: höchstens 30 Tage.
• Cookie-Auswahl (`sp_consent`): 180 Tage, danach fragen wir erneut.
• Seitenzähler ohne Personenbezug: unbefristet, weil sie keiner Person zugeordnet werden können.
• Statistik mit Sitzungskennung: 12 Monate.
• Protokoll der an Meta gesendeten Ereignisse: 13 Monate, mit deinem Konto auch früher.
• Sofort löschen wir deine Daten auf Wunsch, sofern keine gesetzliche Pflicht entgegensteht (siehe Abschnitt 9).

9. Welche Rechte hast du?

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten, ihre Herkunft, Empfänger und Zwecke (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Übertragbarkeit der Daten, die du uns auf Grundlage deiner Einwilligung gegeben hast (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO).

Schreib uns dafür an datenschutz@endometriose.app. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

10. Einwilligung widerrufen

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne Angabe von Gründen und ohne Nachteil. Schreib dafür an datenschutz@endometriose.app. Wir löschen dann deine Angaben und schicken dir keine Einladungen, Erinnerungen und Nachfragen mehr. Deine Einwilligung in Statistik und Marketing widerrufst du am einfachsten über „Cookie-Einstellungen“ unten auf jeder Seite. Was bis zum Widerruf geschehen ist, bleibt rechtmäßig. Ein Brief, der schon bei der Post ist, lässt sich nicht zurückholen.

11. Beschwerde bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Für uns zuständig ist:

Sächsische Datenschutz- und TransparenzbeauftragtePostfach 11 01 3201330 Dresden

E-Mail: post@sdtb.sachsen.deTelefon: +49 351 85471-101Website: https://www.datenschutz.sachsen.de/

12. Sicherheit und Änderungen

Das Portal überträgt Daten verschlüsselt (TLS). Die Datenbank liegt in der EU. Zugriff auf die Daten haben nur Berechtigte.

Wir passen diese Erklärung an, wenn sich das Portal ändert, zum Beispiel wenn weitere Dienste dazukommen. Die jeweils gültige Fassung findest du hier.