Source: https://www.docsy.at/datenschutz/
Timestamp: 2019-11-16 21:19:05
Document Index: 50595080

Matched Legal Cases: ['Art 6', 'Art 6', 'Art 6', 'Art 7', '§1', '§6', '§6']

Datenschutz - docsy
v2018.5.1 – gültig ab 25.05.2018
docsy ist ein Produkt der MediPrime GmbH
Wie werden Ihre personenbezohenen Daten von uns verarbeitet?
Datenverarbeitung von Besuchern unserer Webseiten, Abonnenten unseres Newsletters und Interessenten
Datenverarbeitung von docsy-Kunden
Welche Daten werden von docsy verarbeitet?
Welche Daten können von mehreren Nutzern bearbeitet werden?
Sind meine Informationen wirklich sicher gespeichert?
Wer hat Zugriff auf meine Informationen?
Datenverarbeitung von MeinArztOnline-Kunden
Welche Daten werden von MeinArztOnline verarbeitet?
Wer hat Zugriff aif meine Informationen?
Download MediPrime Datenschutzinformation als PDF
Ihre Daten sind bei uns in sicheren Händen! Wir, die MediPrime GmbH sind dazu verpflichtet, Ihre Daten zu schützen und nehmen diesen Auftrag auch ernst.Diese Datenschutzinformation beschreibt, warum und wie wir Daten erheben und in welcher Form wir sie verarbeiten, wenn Sie
unsere Webseiten besuchen (Details in Abschnitt3.1),
unser docsy-Kunde sind (z.B. ÄrztIn oder TherapeutIn, Details in Abschnitt 3.2),
oder MeinArztOnline-Kunde sind (z.B. als PatientIn, Details in Abschnitt 3.3),
oder wenn Sie unser Lieferant oder Geschäftspartner sind (Abschnitt 3.4).
Personenbezogene Daten im Sinne der DSGVO sind Informationen, die sich auf Personen beziehen, deren Identität identifizierbar ist (z.B. Name, Kontaktdaten, E-Mail-Adresse, IP-Adresse). Besondere Kategorien personenbezogener Daten sind insbesondere Gesundheitsdaten.
Wir unterteilen unsere Datenverarbeitung in vier Gruppen: Webseitenbesucher, Benutzer der docsy-WebApp, Benutzer der MeinArztOnline-WebApp sowie Geschäftspartner.
3.1. Datenverarbeitung von Besuchern unserer Webseiten, Abonnenten unseres Newsletters und Interessenten
Unsere Webseiten umfassen: www.docsy.at, www.meinarztonline.at, www.mediprime.eu sowie www.diabetesschulung.at. Die Datenverarbeitung erfolgt auf allen Webseiten gleichermaßen.
zur Wahrung unserer berechtigten Interessen (Art 6 Abs 1 litf DSGVO), nämlich der Sicherstellung des Betriebs, der Sicherheit und der Optimierung unserer Webseite, oder
zur Bearbeitung Ihrer Anfragen, die Sie über dasKontaktformular oder sonstige Anfrageformulare auf unserer Webseite, per E-Mail oder telefonisch an uns stellen (Art 6 Abs 1 lit a DSGVO).
Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem sie dasunter dem folgenden Link verfügbare Browser-Plugin herunterladen und installieren: http://tools.google.com/dlpage/gaoptout?hl=de.
Sofern Sie sich über unsere Webseite für unseren Newsletter anmelden, verarbeiten wir Ihren Vornamen, Nachnamen, Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung sowie Ihre IP-Adresse. Weiters speichern wir, welche Newsletter wir Ihnen gesandt haben, ob und wann Sie diese geöffnet oder geblockt oder als Spam markiert haben, ob diese vorübergehend oder permanent nicht zugestellt werden konnten, ob Sie sich vom Newsletter an-oder abmelden und welche sowie wie viele Links Sie in den Newslettern anklicken. Die Verarbeitung dieser Daten ist von der Einwilligung bei der Anmeldung zu unserem Newsletter umfasst. Wenn Sie diese Informationen nicht bereitstellen möchten, bitten wir Sie, sich nicht für den Newsletter anzumelden.
Um die oben angeführten Zwecke zu erreichen, kann es fallweise notwendig sein, dass wir Ihre Daten denfolgenden Empfängern offen legen. Diese Offenlegung kann erfolgen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung.
(Webseite-Hosting, E-Mail-Provider) Österreich
Rechnerherz e.U. (Wartung der Webseite, Organisation des Newsletters,
sofern sie dafür angemeldet sind Österreich
3.2. Datenverarbeitung von docsy-Kunden
Unter docsy-Kunden verstehen wir Nutzer der WebApp docsy (www.docsy.at/app), wofür ein aufrechtes Vertragsverhältnis mit der MediPrime GmbH bestehen muss.
zur Durchführung vorvertraglicher Maßnahmen (z.B. Testaccount) oder zur Erfüllung unserer vertraglichen Verpflichtungen (Art 6 Abs 1 lit b DSGVO) im Rahmen des Vertragsverhältnisses,
Die Verarbeitung Ihrer Daten dient vor allem der Durchführung und Abwicklung unserer Leistungen als Arztsoftwarehersteller. Wenn Sie uns Ihre Daten nicht zur Verfügung stellen wollen, können wir keinen Nutzungsvertrag mit Ihnen abschließen.
Die Weitergabe von Daten an andere Nutzer der Plattform docsy.at sowie der Plattform MeinArztOnline.at erfolgt nur auf Ihre ausdrückliche Aktion hinaus (z.B. „Nachricht senden“). Mit dieser Aktion stimmen Sie der Übermittlung der Daten an den vonIhnen gewählten Empfänger oder den von Ihnen gewählten Empfängern zu.
„Cookies“ dienen zur Wiedererkennung und zur Speicherung temporärer Daten des Webseitenbesuchers. Wir nutzen ausschließlich Session-Cookies zur Identifikation Ihrer „Sitzung“, d.h. alleInformationen werden nach einer bestimmten Zeitspanne nach dem Verlassen der Webseite automatisch gelöscht. Wir verwendeninnerhalb der docsy-Appkeine Werbe-oder Tracking-Cookies.
Möglicherweise setzen von uns mittels „iFrame-Technologie“ integrierte Drittanbieter Cookies; dies wären: handysignatur.at, sowie Anbieter telemedizinischer Leistungen wie Blutzuckermessgerätehersteller.
3.2.1. Welche Daten werden von docsy verarbeitet?
Im Zuge der Nutzung verarbeitet docsy.at nur die Daten die Sie zur Verfügung stellen. Dies beinhaltet die Daten der Registrierung und Nutzung (Name, Anrede / Geschlecht, Geburtsdatum, Anschrift, Telefon-und Faxnummer, E-Mail-Adresse, Username, Passwort, Profilbild (sofern zur Verfügung gestellt), Ihre Patienten, Daten zur Erreichbarkeit, hochgeladene Dokumente / Medien, Terminvereinbarungen sowie ausgestellte Rezepte), die gesamte Patientenakte inkl. Protokoll, die erstellten Dokumentesowie die Daten der Kommunikation zwischen Ihnen und den Patienten.
Die für Ihre öffentliche Profilseite erhobenen Daten (Ihr Name, Ordinationsanschrift, Kontaktdaten, Öffnungszeiten, Präsentationstext, angebotene Betreuungspakete inklusive inkludierter Leistungen und Preis) werden öffentlich im Internet publiziert, sofern Sie diese öffentliche Seite wünschen.
3.2.2. Welche Daten können von mehreren Nutzern bearbeitet werden?
Die Plattform docsy.at bzw. das zugehörige Patientenportal MeinArztOnline.at bieten die Möglichkeit der gemeinsamen Verwaltung von bestimmten Daten zwischen Patienten und ihren behandelnden Ärzten. Dazu zählen administrative Kontaktdaten, Medikamente, Krankheiten (Diagnosen), Allergien, Impfungen und bestimmte Anamnese-Fragen. Die Datenhoheit liegt prinzipiell beim Patienten, er vergibt Zugriffsrechte an seine verbundenen Ärzte. Für einmal freigegebene Daten können dem Arzt die Zugriffsrechte jedoch nicht mehr entzogen werden. Jeder der berechtigten Personen kann Änderungen am Datensatz vornehmen. Dabei ist über ein Revisionsprotokoll immer sichtbar wer, zu welchem Zeitpunkt, welche Änderungen durchgeführt hat. Das Recht des Patienten auf Löschung seiner Daten laut DSGVOsteht im Konflikt mit der Dokumentationspflicht aus dem ÄrzteG. Sollteein Patient dieses Recht beanspruchen wird versucht eine individuelle Lösung zu finden. Andere Personen können somit keine dokumentierten Daten „löschen“.
3.2.3. Weitere erhobene Daten
Mittels interner Auswertungsmethoden erheben wir zusätzlich folgende Daten pro Nutzer: Zeitpunkt und IP-Adresse erfolgreicher und fehlgeschlagener Logins, letzter Zugriff, Anzahl an bestätigten sowie unbestätigten Patienten, Anzahl erhaltener und gesendeter medizinischer Nachrichten, Anzahl Nachrichten, Anzahl Antworten, Anzahl Rezeptanfragen, Anzahl Patientenanfragen, Anzahl erstellter Dokumente inkl. Dokumenttyp, Antwortzeit (Zeitpunkt zwischen gestellter Frage und erster Antwort), Anzahl, Art und Zeitpunkt der aufgerufenen Funktionen (z.B. Login, Nachrichtenansicht, Bestätigungen, …). Diese Daten dienen unserer eigenen Statistik bzw. der Analyse des Nutzerverhaltens und werden ausschließlich anonymisiert oder nach Ihrer ausdrücklichen Einwilligung veröffentlicht.
Weiters erfassen wir, welche „Betreuungspakete“ (docsy connect) anwelche Patienten um welche Gebühr wo verkauft wurden, die Zahlungsart sowie deren Gültigkeitszeitraum. Diese Information erheben wir, um die vertraglich vereinbarte Provision abrechnen zu können.
Alle von Ihnen über die docsy-App an den „Administrator“ gerichteten Nachrichten bzw. die darin enthaltenen Informationen werden ausschließlich für den Zweck der Beantwortung Ihrer Anfrage verwendet.
3.2.4. Mögliche Datenempfänger
PZ Pucher Steuer- und Unternehmensberatung GmbH (Buchhaltung) Österreich
3.2.5. Sind meine Informationen wirklich sicher gespeichert?
Ja! Wir legen großen Wert auf Datenschutz. Sie können nur über eine gesicherte Verbindung (HTTPS) auf docsy.at zugreifen. Damit ist es nicht möglich, dass ein Dritter die Daten liest, die zwischen Ihrem Webbrowser und unserem Server ausgetauscht werden. Unsere Server stehen in einem österreichischen Rechenzentrum, mit höchsten Sicherheitsstandards (ISO 27001, BS25999 -Interxion Österreich). Am Server sind sensiblen Informationen zusätzlich verschlüsselt, so dass auch ein Systemadministrator die Informationen nicht lesen kann. Medizinisch relevante Daten werden immer undsofort mittels geeigneten Algorithmen, welche im Rahmen des GTelG empfohlen wurden, verschlüsselt.
docsy behandelt alle gesammelten Daten vertraulich und schützt Ihre persönlichen Daten vor unerlaubtem Zugriff, Verwendung oder Veröffentlichung.
docsy sorgt dafür, dass sich Ihre persönlichen Informationen, die auf dem Server gespeichert werden, in einer kontrollierten, sicheren Umgebung, in der unerlaubter Zugriff und Veröffentlichung verhindert werden, befinden.
3.2.6. Wer hat Zugriff auf meine Informationen?
docsy gibt Ihre personenbezogenen Daten nicht an Dritte weiter, außer Sie werden zur Abwicklung des Geschäftsverkehres benötigt. Die übermittelten Daten werden in einem solchen Fall auf das erforderliche Minimum reduziert. Soweit docsy.at aber gesetzlich oder per Gerichtsbeschluss dazu verpflichtet wird, geben wir Ihre Daten nur an auskunftsberechtigte staatliche Institutionen und Behörden weiter.
Sämtliche Mitarbeiterinnen und Mitarbeiter von docsy wurden vertraglich zur Wahrung des Datengeheimnisses gemäß dem Datenschutzgesetz verpflichtet.
3.2.7. Hinweis zu externen Links
Soweit von dieser Website auf andere Websites Links gelegt sind, wird darauf hingewiesen, dass keinerlei Einfluss auf die Gestaltung und die Inhalte der gelinkten Seiten besteht und sich deren Inhalt nicht zu eigen gemacht wird. Dies gilt für alle auf dieser Seite ausgebrachten externen Links und für alle Inhalte der Seiten, zu denen Werbemittel (z.B. Banner, Textanzeigen, Videoanzeigen) führen. Für verlinkte Seiten gilt, dass rechtswidrige Inhalte zum Zeitpunkt der Verlinkung nicht erkennbar waren. Die Links werden regelmäßig auf rechtswidrige Inhalte überprüft und bei Rechtsverletzungen unverzüglich entfernt. Wir sind für die Datenschutz-Handhabung dieser anderen Seiten nicht verantwortlich. Wenn Sie unsere Webseite verlassen, raten wir Ihnen dazu, die Datenschutz-Bestimmungen der Zielwebseite zu lesen
Unsere Technologie ist als Whitelabel-Lösung verfügbar und kann auch selbst gehostet/betrieben werden.
3.3. Datenverarbeitung von MeinArztOnline-Kunden
Unter MeinArztOnline-Kunden verstehen wir Nutzer der WebApp MeinArztOnline (www.meinarztonline.at/app) bzw. Interessenten daran. Als Nutzer akzeptieren Sie die Nutzungsbedingungen unserer Plattform, was Sie per „Account deaktivieren“-Funktion jederzeit widerrufen können.
Die Verarbeitung Ihrer Daten dient vor allem der Durchführung und Abwicklung unserer Leistungen als persönliche Gesundheitsakte sowie Kommunikationsplattform mit dem eigenen, behandelnden Arzt. Wenn Sie uns Ihre Daten, die zur Registrierung notwendig sind, nicht zur Verfügung stellen wollen, können wir Sie nicht bei MeinArztOnline registrieren.
Die Weitergabe von Daten an Nutzer der Plattform docsy.at erfolgt nur auf Ihre ausdrückliche Aktion hinaus (z.B. „Nachricht senden“). Mit dieser Aktion stimmen Sie der Übermittlung der Daten an den von Ihnen gewählten Empfänger oder den von Ihnen gewählten Empfängern zu.
„Cookies“ dienen zur Wiedererkennung und zur Speicherung temporärer Daten des Webseitenbesuchers. Wir nutzen ausschließlich Session-Cookies zur Identifikation Ihrer „Sitzung“, d.h. alle Informationen werden nach einer bestimmten Zeitspanne nach dem Verlassen der Webseite automatisch gelöscht. Wir verwendeninnerhalb der MeinArztOnline-Appkeine Werbe-oder Tracking-Cookies.
3.3.1. Welche Daten werden von MeinArztOnline verarbeitet?
Im Zuge der Nutzung verarbeitet MeinArztOnlinenur die Daten die Sie zur Verfügung stellen. Dies beinhaltet die Daten der Registrierung und Nutzung (Name, Anrede / Geschlecht, Geburtsdatum, Anschrift, Telefon-und Faxnummer, E-Mail-Adresse, Username, Passwort, Profilbild (sofern zur Verfügung gestellt), Ihre Gesundheitsakte (Diagnosen, Allergien, Medikamente, Anamneseinfos), hochgeladeneoder übermittelteDokumente / Medien, Terminvereinbarungen), sowie die Daten der Kommunikation zwischen Ihnen und Ihren Ärzten.
3.3.2. Welche Daten können von mehreren Nutzern bearbeitet werden?
Die Plattform docsy.at bzw. das zugehörige Patientenportal MeinArztOnline.at bieten die Möglichkeit der gemeinsamen Verwaltung von bestimmten Daten zwischen Patienten und ihren behandelnden Ärzten. Dazu zählen administrative Kontaktdaten, Medikamente, Krankheiten (Diagnosen), Allergien, Impfungen und bestimmte Anamnese-Fragen. Die Datenhoheit liegt prinzipiell beim Patienten, er vergibt Zugriffsrechte an seine verbundenen Ärzte. Für einmal freigegebene Daten können dem Arzt die Zugriffsrechte jedoch nicht mehr entzogen werden. Jeder der berechtigten Personen kann Änderungen am Datensatz vornehmen. Dabeiist über ein Revisionsprotokoll immer sichtbar wer, zu welchem Zeitpunkt, welche Änderungen durchgeführt hat. Das Recht des Patienten auf Löschung seiner Daten laut DSGVOsteht im Konflikt mit der Dokumentationspflicht aus dem ÄrzteG. Sollte ein Patient dieses Recht beanspruchen wird versucht eine individuelle Lösung zu finden. Andere Personen können somit keine dokumentierten Daten „löschen“.
3.3.3. Weitere erhobene Daten
Mittels interner Auswertungsmethoden erheben wir zusätzlich folgende Daten pro Nutzer: Zeitpunkt und IP-Adresse erfolgreicher und fehlgeschlagener Logins, letzter Zugriff, Anzahl, Art und Zeitpunkt der aufgerufenen Funktionen (z.B. Login, Nachricht senden, Rezept bestellen). Diese Daten dienen unserer eigenen Statistik bzw. der Analyse des Nutzerverhaltens und werden ausschließlich anonymisiert oder nach Ihrer ausdrücklichen Einwilligung veröffentlicht.
Weiters erfassen wir, welche „Betreuungspakete“ (docsy connect) Sie bei welchem Arzt um welche Gebühr bezogen haben, die Zahlungsart sowie deren Gültigkeitszeitraum. Diese Information erheben wir, um die vertraglich vereinbarte Provision abrechnen zu können.
Sofern Sie auf unsere Feedback-Funktionen reagieren (z.B. Feedbackfragen nach Beantwortung einer medizinischen Frage, Feedback zu Features(„Daumen hoch“)), werten wir diese Information nur in anonymisierter Form aus.
Alle von Ihnen über die MeinArztOnline-App an den „Administrator“ gerichteten Nachrichten bzw. die darin enthaltenen Informationen werden ausschließlich für den Zweck der Beantwortung Ihrer Anfrage verwendet.
3.3.4. Mögliche Datenempfänger
3.3.5. Sind meine Informationen wirklich sicher gespeichert?
Ja! Wir legen großen Wert auf Datenschutz. Sie können nur über eine gesicherte Verbindung (HTTPS) auf docsy.at zugreifen. Damit ist es nicht möglich, dass ein Dritter die Daten liest, die zwischen Ihrem Webbrowser und unserem Server ausgetauscht werden. Unsere Server stehen in einem österreichischen Rechenzentrum, mit höchsten Sicherheitsstandards (ISO 27001, BS25999 -Interxion Österreich). Am Server sind sensiblen Informationen zusätzlich verschlüsselt, so dass auch ein Systemadministrator die Informationen nicht lesen kann. Medizinisch relevante Daten werden immer und sofort mittels geeigneten Algorithmen, welche im Rahmen des GTelG empfohlen wurden, verschlüsselt.
MeinArztOnlinebehandelt alle gesammelten Daten vertraulich und schützt Ihre persönlichen Daten vor unerlaubtem Zugriff, Verwendung oder Veröffentlichung. MeinArztOnlinesorgt dafür, dass sich Ihre persönlichen Informationen, die auf dem Server gespeichert werden,in einer kontrollierten, sicheren Umgebung, in der unerlaubter Zugriff und Veröffentlichung verhindert werden, befinden.
3.3.6. Wer hat Zugriff auf meine Informationen?
MeinArztOnlinegibt Ihre personenbezogenen Daten nicht an Dritte weiter, außer Sie werden zur Abwicklung des Geschäftsverkehres benötigt. Die übermittelten Daten werden in einem solchen Fall auf das erforderliche Minimum reduziert. Soweit docsy.at aber gesetzlich oder per Gerichtsbeschluss dazu verpflichtet wird, geben wir Ihre Daten nur an auskunftsberechtigte staatliche Institutionen und Behörden weiter.
Sämtliche Mitarbeiterinnen und Mitarbeiter der MediPrime GmbHwurden vertraglich zur Wahrung des Datengeheimnisses gemäß dem Datenschutzgesetz verpflichtet.
3.3.7. Hinweis zu externen Links
Soweit vondieser Website auf andere Websites Links gelegt sind, wird darauf hingewiesen, dass keinerlei Einfluss auf die Gestaltung und die Inhalte der gelinkten Seiten besteht und sich deren Inhalt nicht zu eigen gemacht wird. Dies gilt für alle auf dieser Seite ausgebrachten externen Links und für alle Inhalte der Seiten, zu denen Werbemittel (z.B. Banner, Textanzeigen, Videoanzeigen) führen. Für verlinkte Seiten gilt, dass rechtswidrige Inhalte zum Zeitpunkt der Verlinkung nicht erkennbar waren. Die Links werden regelmäßig auf rechtswidrige Inhalte überprüft und bei Rechtsverletzungen unverzüglich entfernt. Wir sind für die Datenschutz-Handhabung dieser anderen Seiten nicht verantwortlich. Wenn Sie unsere Webseite verlassen, raten wir Ihnen dazu, die Datenschutz-Bestimmungen der Zielwebseite zu lesen.
3.4. Datenverarbeitung von Lieferanten und Geschäftspartnern
Die Verarbeitung Ihrer Daten dient vor allem der Anbahnung, Aufrechterhaltung und Abwicklung unserer Verträge über Waren-und Dienstleistungen.
Um diese angestrebten Zwecke zu erreichen, kann es fallweise notwendig sein, dass wir Ihre Daten den folgenden Empfängern offenlegen. Diese Offenlegung kann erfolgen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung. Wenn Sie uns Ihre Daten nicht zur Verfügung stellen, können wir keine Geschäftsbeziehung mit Ihnen eingehen.
Aus standesrechtlichenGründen (ÄrzteG) speichern wir medizinische Dokumentation sowie Dokumente inklusive medizinischer Korrespondenz im Rahmen eines aufrechtenVertragsverhältnisses (docsy) grundsätzlich für die Dauer von dreißigJahren. Bei einer Beendigung des Vertragsverhältnisses löschen wir Ihre Daten nach einem Jahr.
Von Patienten eingegebene Informationen in die elektronische Gesundheitssakte speichern wir, bis Sie Ihren Account deaktivieren. Mit Ärzten geteilte Informationen oder übermittelte Nachrichten werden gemäß der Speicherdauer für Ärzte gespeichert.
Auf unserem Newsletter-Verteiler bleiben Sie so lange gespeichert, bis Sie sich von diesem abmelden
5.1. Recht auf Auskunft, Richtigstellung und Löschung
Ihr Vertrauen ist uns wichtig. Daher möchten wir Ihnen jederzeit Rede und Antwort bezüglich der Verarbeitung Ihrer personenbezogenen Daten stehen. Sie haben jederzeit das Recht auf Auskunft über die bezüglich Ihrer Person gespeicherten Daten, deren Herkunft und Empfänger sowie den Zweck der Datenverarbeitung. Weiters haben Sie soweit gesetzlich vorgesehen das Recht auf Richtigstellung im Falle der Verarbeitung falscher oder unvollständiger Daten bzw. auf Löschung im Falle der unrechtmäßigen Verarbeitung Ihrer Daten. Diesbezügliche Anträge stellen Sie bitte per E-Mail an office@mediprime.eu.
Sofern wir Ihre Daten auf BasisIhrer Einwilligung verarbeiten, haben Sie das Recht, diese Einwilligung jederzeit per Email an hello@docsy.at oder info@meinarztonline.at, zu widerrufen. Dadurch wird die Rechtmäßigkeit der bis zu diesem Zeitpunkt erfolgten Datenverarbeitung nicht beeinträchtigt (Art 7 Abs 3 DSGVO).
Bei weiteren Fragen stehen wir Ihnen gerne unter office@mediprime.eu zur Verfügung.
5.2. Änderung dieser Datenschutzbestimmungen
docsy.at behält sich das Recht vor, die Sicherheits-und Datenschutzmaßnahmen zu verändern, soweit dies wegen der technischen Entwicklung erforderlich wird. In diesen Fällen werden wir auch unsere Hinweise zum Datenschutz entsprechend anpassen und Sie von den geänderten Bedingungen informieren.
01 / 890 57 65
www.mediprime.eu
christoph.berdenich@mediprime.eu
MediPrime Security Statement
v2018.5.1 – gültig ab 01.05.2018
Das Unternehmen / Die Software
MediPrime, MeinArztOnline, Docsy & Whitelabelling
Unser Sicherheitsverständnis
Abläufe und Details
Brute-Force Schutz & Serversicherheit
Hosting & Datencenter
Webattacken / Login
Verwendete Komponenten (Software-Stack)
DSG/DSGVO
GTelG und Gesundheitstelematikverordnung (GTelVO)
Download MediPrime Security Statement als PDF
Die MediPrime GmbH mit Sitz im 3. Wiener Gemeindebezirk wurde Anfang 2018 per Umbenennung und Umstrukturierungder 2015 gegründeten Stonebird IT Solutions GmbH eingetragen. Wir beschäftigen uns mit der Konzeption, Entwicklung und dem Betrieb von Onlineanwendungen im Gesundheitswesen. Innerhalb der letzten 3 Jahre wurde eine sichere, den österreichischen Gesetzen entsprechende Kommunikations-und Verwaltungsplattform für Ärzte (www.docsy.at) und Patienten (www.meinarztonline.at) geschaffen.
Die gesamte Konzeption und Entwicklung findet ausschließlich in Österreich und innerhalb unserers Unternehmens statt.
Als MediPrime wird die von uns konzipierte, entwickelte und in Instanzen betriebene technologische Basis bezeichnet. Docsy ist ein webbasiertes Ordinations-und Kommunikationssystem für Wahlärzte. MeinArztOnline ist ein Patientenportal zur Verwaltung eigener medizinischer Daten und zur Kommunikation mit den eigenen Ärzten (die Docsy verwenden).
Egal ob Online-Ordinationssoftware (Docsy) oder die von Patienten selbst verwaltete Gesundheitsakte mit Kommunikationsmöglichkeit (MeinArztOnline) – Ärzte und Patienten vertrauen uns die sensibelsten Daten, die es gibt, an. Es ist offensichtlich, dass solch eine Anwendung über das an und für sich unsichere Internet gegen verschiedenste Arten von Angriffen abgesichert warden muss. Wir haben unsere Technologieplattform MediPrime von Beginn an dem Sicherheitsgedanken unterworfen. Unter Sicherheit verstehen wir
geeignete Entwicklungs-, interne und Betriebsprozesse
sichere Softwarearchitektur sowie sicheres Hosting
gesetzeskonformer Betrieb (u.a. ÄrzteG, GTelG, DSGVO/DSG)
Verfügbarkeit, Vertraulichkeit und Integrität unserer Plattform und Daten
Abläufe & Details
Erst beim Aufruf von www.meinarztonline.at/app und www.docsy.at/app landet ein Besucher auf den eigentlichen MediPrime-Seiten. Die Verbindungen sind SHA-1-SSL-verschlüsselt, mit einem 2048 Bit RSA Public-/Private Key Exchange aufgebaut und mit 256 Bit verschlüsselt. Dies gilt nach heutigem Stand der Technik als vollständig sicher.
Aktuell ist der Login mittels Handysignatur oder Bürgerkarte, das Login mittels Benutzername und Passwort sowie eine Kombination möglich. Vor dem ersten Login mittels Handysignatur/Bürgerkarte muss der Accounteinmalig mit der eigenen Identität bestätigt werden. Dies kann in der “Profil”-Sektion von Docsy/MeinArztOnline nach dem Einloggen gemacht werden.
Bei Whitelabel-Lösungen ist eine verpflichtende Verwendung von Handysignatur/Bürgerkarte (GTelG-konformeGDA-Kommunikation) oder/und eine alternative 2-Faktor-Authentifizierung (z.B. für Patienten) möglich.
Wenn Interessenten uns zur MediPrime-Sicherheit befragen, spielt das Thema Verschlüsselung eine große Rolle. Verständlicherweise ist die Möglichkeit, dass Dritte eine Verbindung einsehen oder sogar Datenabgegriffen werden können, gefürchtet. In der Praxis sind es dann aber oft ganz primitive Angriffe, die am gefährlichsten sind.Dieser Abschnitt gilt nur für den Zugriff per Benutzername und Kennwort, nicht durch die Handysignatur/Bürgerkarte (dieser ist über das A-Trust-System abgesichert).
Die Anzahl der möglichen Logins auf einen Account (eine Mailadresse) ist softwareseitig auf 10 Versuche limitiert, danach ist der Account gesperrt und muss durch einen Administrator wieder aktiviert warden (Kontaktaufnahme per Mail und Telefon möglich). Weiters werden IP-Adressen, die zu oft unerfolgreich auf Serverressourcen (Services, Ports) zugreifen, blockiert.Auf dem Server werden alle nicht für unsere Software bzw. die Verwaltung benötigten Ports gesperrt. Wir prüfen alle Serverdateien laufend auf Integrität.
Die Verfügbarkeit als auch Sicherheitist vom Standort des Servers abhängig. Die zentralen MediPrime-Server befinden in einem Rechenzentrum (Internexx) in Wien (Österreich), das nach ISO 27001 zertifiziert ist, und multiredundanteCarrier-Anbindung und redundanteStromversorgungbesitzt. Es wird ausschließlich Markenhardware eingesetzt.Es gibt personenbezogene Zutrittsüberwachung, Videokameras, Bewegungsmelder, 24/7-Überwachung und Vor-Ort-Sicherheitspersonal.
Alle sensiblen Daten (bzw. “besondere Kategorien personenbezogener Daten” lt. DSGVO) werden per PBEWithHmacSHA256AndAES_256verschlüsselt in der Datenbank gespeichert. Ein auf Funktionsniveau heruntergebrochenes Rechtesystem garantiert, dass nur berechtigte Nutzer auf Daten zugreifen können.
Änderungen an Daten warden in Revisionstabellen gesichert,damit kann jede Datenmanipulation nachvollzogen werden.
Benutzer-Dokumente werden auf unseren Servern verschlüsselt abgelegt. Für die Verschlüsselung wird der password-based ByteEncryptor aus dem Spring Security Crypto Modul verwendet.
SSL3 haben wir in der Apache2 Konfiguration deaktiviert. Die CSRF-Protection von Spring Security ist konfiguriert. HSTS-Token werden gesendet.Thymleaf’s th:text bereinigt Text in den Views um XSS-Angriffe zu vermeiden.Wir bieten bewusst keine Remember-Me-Funktionalität an. Um starke Benutzer-Passwörter zu fördern, wird ein Password-Stärke-Meter angezeigt.
Die MediPrime-Technologie ist eine MVC-basierte WebApp, die mit Java 8 und dem Spring Framework entwickelt wurde. Auf dem Server laufen Debian 8, Apache+Tomcat, MySQL. Mailtechnisch ist ausschließlich ein SSMTP-Agent installiert; unsere Mailserver sind managed in einem anderen österreichischen Rechenzentrum.
Weitere Details stehen nur nach persönlichem, projektbezogenen Kontakt zur Verfügung.
Wir haben von Beginn an auf ein rechtlich gesichertes Datenschutzkonzept geachtet. Mit Dr. Knyrim (www.kt.at) haben wir hierzu einen starken Partner gewinnen können, mit dem wir die Grundlagen unserer Plattform auch publiziert haben: https://rdb.manz.at/document/rdb.tso.LIdako20160403.
Mit dem österreichischen DSG2000 haben wir bereits ein sehr starkes Datenschutzgesetz umgesetzt. Die Einführung der DSGVO ändert vergleichsweise wenig; es werden Informationspflichten, die Datenschutzerklärung, und Löschfristen eingeführt bzw. ergänzt sowie die erforderlichen internen Prozesse und Dokumentationen erstellt.Aus DSGVO-Sicht sind wir für die meisten (Patienten-)Daten Auftragsverarbeiter, sowohl aus Sicht der Ärzte als auch aus Sicht der Patienten. Verantwortliche im Sinne der DSGVO sind wir für selbst erhobene bzw. kombiniert weiterverarbeitete Daten.
Alle betroffenen Rechte und Pflichten des ÄrzteG sind auf Docsy bzw. MeinArztOnline ebenfalls umgesetzt. Unser Archiv-und Revisionssystem sorgt für eine sichere Dokumentation. Die Verantwortlichkeit für medizinische Beratung, der Annahme der digitalen Betreuung des Patienten, die Leistungsanbietung sowie die Haftung bleibt beim Arzt. Als Plattform stellen wir rein den sicheren Übertragungskanal zur Verfügung.
GTelGund Gesundheitstelematikverordnung (GTelVO)
Gemäß GTelVO muss die identität von Gesundheitsdiensteanbietern mittels elektronischer Signaturen (oder demnicht existenten eHealth-Verzeichnisdienst) überprüft werden. Dies stellen wir durch die Verwendung der Bürgerkarte/Handysignatur sicher. Nach §1 (2)sowie insbesondere §6istdie Verwendung einer elektronischen Signatur kein Muss, wir empfehlen die Verwendung aber dringend. Für Whitelabel-Lösungen gibt es die Möglichkeit, ausschließlich Login per Signatur anzubieten.
Vertraulichkeit und Integrität sind zwei fest verankerte Bausteine der IT-Sicherheit, diese werden explizit im Gesetzestext behandelt.§6 (3) GTelG erlaubt explizit die Datenspeicherung mittels “Cloud Computing”, sofern die Daten mit einem dem aktuellen Stand der Technik entsprechenden Verfahren verschlüsselt wurden. Die erlaubten Algorithmen werden angegeben.Unser Datensicherheits-und Verschlüsselungskonzept ist GTelVO-konform und wird weiter oben beschrieben. Die Integrität der Gesundheitsdaten wird durch Benutzerkennung, verschlüsselter Übertragung/Speicherung und dem Revisionssystem (Datum/Account/Version) sichergestellt.
Die Dokumentation des IT-Sicherheitskonzeptes ist sowohl im GTelG als auch in der DSGVO verankert.
Wir stehen Ihnen bei Fragen unter office@mediprime.eu sowie + 43 (0) 1890 57 65 zur Verfügung.
Unser Ansprechpartner für Datensicherheit und Datenschutz ist:
+43 (0)1890 5765