I. Verantwortliche Stelle und Betreiber von LAMITO connect

Der Verantwortliche im Sinne der Datenschutzgrundverordnung (DSGVO) ist die:

nachfolgend als „Gesellschaft bezeichnet

II. Name und Anschrift des Datenschutzbeauftragten

Der Datenschutzbeauftragte des Verantwortlichen ist:

III. Allgemeines zur Datenverarbeitung

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten in der mobilen Anwendung der Patienten-App LAMITO connect für iOS und Android.

Bei den über LAMITO connect verarbeiteten Gesundheitsdaten handelt es sich um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO. Wir verarbeiten diese Daten ausschließlich auf Basis einer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) sowie zum Zweck der Gesundheitsversorgung gemäß Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG.

IV. Betroffene Personen

V. Erhobene Datenkategorien

Nachfolgend sind die Datenkategorien beschrieben, die bei der Nutzung von LAMITO connect erhoben werden. Es werden keine darüberhinausgehenden personenbezogenen Daten erhoben. LAMITO connect selbst greift ausschließlich auf die zur Funktionserfüllung notwendigen Gerätefunktionen zu. Es werden keine Kamera-, Mikrofon-, Kontakte- oder Standortdaten abgefragt.

Stammdaten

Folgende Daten werden bei der Patientenanmeldung erfasst:

Fragebogendaten (App)

Folgende Daten entstehen durch die Nutzung der mobilen App:

Technische Nutzungsdaten (App)

Analysiert auf Basis pubspec.yaml und firebase.json (Stand Mai 2026).

VI. Rechtsgrundlage der Datenverarbeitung

Rechtsgrundlage für die Datenerhebung, -übertragung und -auswertung ist die „Einverständniserklärung zur Teilnahme“ der Deutschen Stiftung für chronisch Kranke gemäß Art. 6 Abs. 1 lit. a DSGVO sowie die digitale Bestätigung des Teilnehmers bei der Anmeldung in der App LAMITO connect gemäß Art. 6 Abs. 1 lit. b DSGVO.

VII. Zweck der Datenverarbeitung

Die Erhebung, Verarbeitung und Speicherung der Daten erfolgt ausschließlich zum Zweck der wissenschaftlichen Qualitätssicherungsleistung „LAMITO“ im Rahmen der in der „Einverständniserklärung zur Teilnahme“ der Deutschen Stiftung für chronisch Kranke festgelegten Zwecke und Form und Ihrer dort abgegebenen Einwilligungen. Eine Nutzung der Daten zu anderen Zwecken findet nicht statt.

VIII. Empfänger und Weitergabe

Die vorgenannten Daten werden an die folgenden Empfänger weitergegeben:

• Behandelnden Kardiologen/in: Stammdaten und Fragebogendaten zur Auswertung und medizinischen Beurteilung
• Deutsche Stiftung für chronisch Kranke: Pseudonymisierte Daten aus den Fragebögen und ärztliche Dokumentation zur Bewertung der Fragebögen einschl. Scoring zur wissenschaftlichen Auswertung (Eine Identifizierung einzelner Personen ist auf Basis dieser Daten weder beabsichtigt noch technisch möglich.)
• IT-Dienstleister: Zur Erfüllung unseres Auftrages haben wir mit IT-Dienstleistern (s. Tabelle) Verträge zur Auftragsdatenverarbeitung gemäß Art. 28 DSGVO geschlossen. Die Daten werden auf Servern eines Cloud-Dienstleisters verarbeitet und gespeichert. Wir setzen dabei ausschließlich Anbieter ein, die:
• ihren Sitz in der Europäischen Union haben oder nach Art. 46 DSGVO geeignete Garantien für eine Datenübermittlung in Drittstaaten bieten (z. B. Standardvertragsklauseln),
• technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO nachweislich umsetzen (z. B. Verschlüsselung, Zugriffskontrolle, Datensicherung).

Die Auftragsverarbeiter (z. B. der Cloud-Dienstleister) erhalten Zugang zu den Daten nur im Rahmen eines schriftlichen Auftragsverarbeitungsvertrags und ausschließlich zur Erbringung des vereinbarten Dienstes. Eine darüberhinausgehende Nutzung – insbesondere zu Marketingzwecken oder durch Versicherungen – ist ausgeschlossen.

⚠️ Firebase Analytics: Automatisch erfasste Nutzungsereignisse werden an Google-Server übertragen. Erstvertragspartner ist Google Ireland Ltd.; ein Datentransfer in die USA an Google LLC findet statt und ist über SCC sowie das EU-US Data Privacy Framework (Google ist zertifiziert) abgedeckt. Im Dart-Code sind keine expliziten logEvent-Aufrufe vorhanden – es werden nur die SDK-Default-Auto-Events erfasst. Keine IDFA-Erfassung auf iOS (kein ATT-Prompt). Firebase Analytics bleibt aktiv – Rechtsgrundlage und ggf. Consent-Mechanik im Onboarding sind noch zu klären. Authentifizierung läuft über Keycloak (Semdatex-eigene Implementierung) – kein Firebase Auth, kein Google-Datentransfer für Login.

Eine Weitergabe Ihrer Daten an andere Dritte erfolgt nur, wenn dies gesetzlich vorgeschrieben ist. Sämtliche Daten werden vertraulich behandelt und nur an berechtigte Personen weitergegeben. Die Verarbeitung erfolgt unter Einhaltung der geltenden Datenschutzgesetze, insbesondere der DSGVO.

IX. Speicherdauer

Die Verarbeitung und Speicherung der Daten gemäß Punkt IV erfolgt für die in der „Einverständniserklärung zur Teilnahme“ der Deutschen Stiftung für chronisch Kranke erklärte Dauer. Gemäß § 630f Abs. 3 BGB werden die erfassten medizinischen Daten und Behandlungsdaten 10 Jahre aufbewahrt.

X. Rechte der betroffenen Personen

Teilnehmende Patienten/ Patientinnen haben folgende Rechte gemäß DSGVO:

• Auskunft über verarbeitete Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung ("Recht auf Vergessenwerden", Art. 17) – soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) – soweit technisch umsetzbar
• Widerspruch (Art. 21)
• Widerruf einer Einwilligung (Art. 7 Abs. 3) – soweit Einwilligung Rechtsgrundlage ist
• Beschwerde bei der zuständigen Aufsichtsbehörde (Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, Tel.: +49 30 13889-0, E-Mail: mailbox@datenschutz-berlin.de)

Weitere Informationen hinsichtlich der Rechte sind der „Einverständniserklärung zur Teilnahme“ der Deutschen Stiftung für chronisch Kranke zu entnehmen.

XI. Technische und organisatorische Maßnahmen (Übersicht)

Zur Datensicherheit werde alle relevanten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO erfüllt. Dies schließt insbesondere Datenvertraulichkeit (Verschlüsselung), -verfügbarkeit (Zugriffsrechte) und -integrität (Sicherheit) ein: