Datenschutzerklärung
Inhaltsverzeichnis
- Allgemeine Informationen zur Datenverarbeitung
- Begriffsbestimmungen
- Verarbeitungen im Rahmen der Plattformnutzung
- Änderungen der Datenschutzerklärung
1 Allgemeine Informationen zur Datenverarbeitung
Diese Datenschutzerklärung beschreibt die Erfassung und Verwendung personenbezogener Daten im Zusammenhang mit der Nutzung der CureNavi Plattform von CureNavi GmbH („Plattform“) nach den Vorgaben der Datenschutz-Grundverordnung („DSGVO“). Verarbeitungstätigkeiten, die nicht von dieser Datenschutzerklärung umfasst werden, können durch weitere Datenschutzerklärungen ergänzt werden, die gesondert zu beachten sind.
1.1 Verantwortlicher und Datenschutzbeauftragter
Verantwortlicher im Sinne der DSGVO ist:
CureNavi GmbH („CureNavi“ / „wir“ / „uns“)
Sie erreichen uns und unseren Datenschutzbeauftragten, Steven Bressner von der Simpliant GmbH, unter folgender Adresse oder per E-Mail:
Mohrenstraße 34, 10117 Berlin
datenschutz@curenavi.com
1.2 Betroffenenrechte und Aufsichtsbehörde
Sie können die folgenden Rechte ausüben:
- Recht auf Auskunft über Ihre bei uns gespeicherten Daten und deren Verarbeitung (Art. 15 DSGVO),
- Recht auf Berichtigung unrichtiger Personendaten (Art. 16 DSGVO),
- Recht auf Löschung Ihrer bei uns gespeicherten Daten (Art. 17 DSGVO),
- Recht auf Einschränkung der Datenverarbeitung, wenn wir Ihre Daten aufgrund gesetzlicher Verpflichtungen noch nicht löschen dürfen (Art. 18 DSGVO),
- Recht auf Portabilität der Daten, wenn Sie in die Datenverarbeitung eingewilligt oder einen Vertrag mit uns abgeschlossen haben (Art. 20 DSGVO),
- Recht auf Widerspruch gegen die Verarbeitung Ihrer Daten durch uns (Art. 21 DSGVO).
Um Ihre Rechte auszuüben, können Sie sich per E-Mail an datenschutz@curenavi.com wenden.
Für die Identifizierung bitten wir Sie um folgende Angaben:
- Vor- und Nachname
- E-Mail-Adresse
- Telefonnummer
In Einzelfällen kann es sein, dass weitere Informationen zur eindeutigen Identifizierung benötigt werden. Die Bearbeitung Ihres Antrags und die Identifizierung Ihrer Person erfolgt auf der Grundlage des Art. 6 Abs. 1 lit. c) DSGVO.
Sie können jederzeit gem. Art. 77 DSGVO i.V.m. § 19 BDSG eine Beschwerde bei einer Aufsichtsbehörde einreichen, z. B. bei der zuständigen Aufsichtsbehörde des Bundeslandes, in dem Sie wohnen, oder bei der für uns zuständigen Behörde.
1.3 Verarbeitung von Daten, Zweck und Rechtsgrundlage
Ihre personenbezogenen Daten verarbeiten wir im Einklang mit den Bestimmungen der EU-Datenschutzgrundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).
Die rechtliche Grundlage aller unserer Verarbeitungstätigkeiten beruht auf Art. 6 Abs. 1 DSGVO. Weitere Informationen erhalten Sie im Rahmen der Darstellung der einzelnen Verarbeitungen.
1.4 Speicherdauer
Wir unternehmen alle angemessenen Schritte, um sicherzustellen, dass Ihre persönlichen Daten nur für den jeweils nach dem Verarbeitungszweck erforderlichen Zeitraum verarbeitet werden.
Wenn die Speicherdauer nicht weiter unten angegeben ist, werden Ihre personenbezogenen Daten gelöscht oder gesperrt, sobald der Zweck oder die Rechtsgrundlage für die Speicherung wegfällt. Eine Löschung personenbezogener Daten erfolgt nicht, wenn die Speicherung gesetzlich vorgeschrieben ist (z. B. § 257 HGB, § 147 AO). Des Weiteren können wir Ihre personenbezogenen Daten bis zum Ablauf der gesetzlichen Verjährungsfristen (im Regelfall 3 Jahre; im Einzelfall aber auch bis zu 10 Jahre oder länger) aufbewahren, sofern dies für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
1.5 Datensicherheit
Um die Sicherheit Ihrer Daten zu schützen, setzen wir technische und organisatorische Sicherheitsmaßnahmen wie z. B. die verschlüsselte Übermittlung und Speicherung von Daten ein. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert und angepasst.
1.6 Übermittlung an Dienstleister
Für die Bereitstellung und den Betrieb unserer technischen Infrastruktur, insbesondere der Plattform einschließlich ihrer Schnittstellen zur Datenübertragung, nutzen wir ausgesuchte Dienstleister. Diese Dienstleister handeln nur nach unseren Weisungen und sind vertraglich verpflichtet, die Bestimmungen von Art. 28 DSGVO zu beachten.
Wenn unten nicht anders angegeben, werden Ihre Daten nicht in ein Drittland außerhalb der Europäischen Union übermittelt. Ihre persönlichen Daten werden nur dann in Drittstaaten übermittelt, wenn die Anforderungen von Art. 44 - 49 DSGVO erfüllt sind, insbesondere Standardvertragsklauseln, verbindliche Unternehmensregeln und Angemessenheitsentscheidungen der Kommission.
1.7 Keine Verpflichtung zur Datenbereitstellung / Kein Profiling
Es besteht keine gesetzliche oder vertragliche Verpflichtung, uns Daten zur Verfügung zu stellen. Einige Dienstleistungen können jedoch nur erbracht werden, wenn die erforderlichen Daten von Ihnen zur Verfügung gestellt werden.
Ihre persönlichen Daten werden nicht für die automatisierte individuelle Entscheidungsfindung einschließlich Profiling verwendet.
1.8 Nutzung Ihrer Daten
Die Gewährleistung einer sicheren und DSGVO-konformen Plattform ist uns ein wichtiges Anliegen.
Ihre medizinischen und persönlichen Daten werden ausschließlich für folgende Zwecke genutzt:
a) Erbringung der CureNavi-Dienstleistungen (z. B. Zweitmeinungen, klinisches Studien-Matching)
b) Forschungszwecke in pseudonymisierter oder anonymisierter Form
c) Statistische Analysen in anonymisierter und aggregierter Form
Pseudonymisierung / Anonymisierung:
- Vor der Weitergabe an Dritte (z. B. Pharmaunternehmen, Biotech-Firmen, Universitätsforscher) werden Ihre Daten pseudonymisiert oder anonymisiert, sodass kein Rückschluss auf Ihre Person möglich ist.
- „Pseudonymisierung“ bedeutet, dass Ihre Daten mit einem Schlüssel versehen werden, der separat und sicher gespeichert wird. Nur CureNavi kann die Daten mit Ihrer Identität verknüpfen.
- „Anonymisierung“ bedeutet, dass Ihre Daten unwiederbringlich von Ihrer Identität getrennt sind, sodass eine Re-Identifizierung ausgeschlossen ist.
Empfänger der Daten:
Ihre pseudonymisierten / anonymisierten Daten können an folgende Dritte weiterverkauft werden, ausschließlich für Forschungszwecke:
- Pharmaunternehmen (z. B. für die Entwicklung neuer Krebstherapien).
- Biotech-Firmen (z. B. für die Analyse von Genomdaten).
- Universitätsforscher oder klinische Studienzentren.
Anonymisierte und aggregierte Daten (Kohorten) können zusätzlich an Datenanbieter (z. B. für statistische Auswertungen oder Forschungsdatenbanken) verkauft oder weitergegeben werden, sofern:
- die Daten vollständig anonymisiert sind (keine Rückverfolgung auf Einzelpersonen möglich),
- die Daten in Kohorten konsolidiert sind (z. B. als Gruppenanalyse nach Alter, Stadium, Therapieform),
- die Daten ausschließlich für wissenschaftliche oder statistische Zwecke genutzt werden.
Ihre Daten werden nicht für Werbung, Marketing oder andere kommerzielle Zwecke weitergegeben – mit Ausnahme der Weitergabe an Unternehmen oder Institutionen, die die Daten ausschließlich für Forschungszwecke oder die Entwicklung neuer Therapien nutzen (z. B. Pharmaunternehmen, Biotech-Firmen, Forschungsinstitute). In diesen Fällen werden die Daten stets anonymisiert oder pseudonymisiert und nur in aggregierter Form (z. B. als Kohorten) übermittelt, sodass kein Rückschluss auf Ihre Person möglich ist.
Ihre Rechte:
- Sie können der Weitergabe Ihrer Daten für Forschungszwecke jederzeit widersprechen.
- Die Weitergabe erfolgt nur mit Ihrer Einwilligung und gemäß den Datenschutzbestimmungen der DSGVO.
Transparenz:
- Eine Liste der Empfängerkategorien (z. B. „Pharmaunternehmen“, „Forschungsinstitute“) finden Sie in den Informationen zu unseren Forschungspartnern.
- Auf Wunsch erhalten Sie weitere Informationen zu den konkreten Empfängern.
2 Begriffsbestimmungen
Netzwerkpraxen und -arzt: Wenn Sie an CureNavi teilnehmen möchten, brauchen Sie eine teilnehmende Netzwerkpraxis. Netzwerkärzte sind Ärzte, die mit dem Netzwerk kooperieren und ihren Patienten Behandlungen und Therapieoptionen im Rahmen der Netzwerkmedizin anbieten. Ihr Netzwerkarzt steht Ihnen während des gesamten Prozesses als Ansprechpartner zur Verfügung. Zudem erhält der Netzwerkarzt die Therapieempfehlungen aus dem Kompetenzzentrum.
Neue Therapieoption: Als neue Therapieoptionen bezeichnen wir die Empfehlung zur Teilnahme an einer Studie, molekularen Untersuchung und einer molekularbasierten Therapieempfehlung.
Gesundheitsdaten: Bei Gesundheitsdaten handelt es sich gem. Art. 4 Nr. 15 DSGVO um personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.
Bei den von uns erfassten Gesundheitsdaten handelt es sich insbesondere um die konkrete Diagnose, Angaben zum aktuellen Gesundheitszustand und behandelnden Arzt. Die Abfrage weiterer Gesundheitsdaten wie Medikation und stationäre Aufenthalte sind möglich.
Kompetenzzentrum: Das Kompetenzzentrum, Klinik für Urologie – Charité Universitätsmedizin Berlin – analysiert die von Ihnen hochgeladenen Befunddaten, nachdem diese durch unsere Plattform verschlüsselt, sicher gespeichert und automatisch vorverarbeitet wurden.
Ihre Dokumente werden dabei zunächst durch KI-gestützte Workflows (AWS Textract) in lesbaren Text umgewandelt, medizinisch relevante Informationen werden hervorgehoben, und spezifische Datenpunkte (z. B. Diagnosen, PSA-Werte, frühere Behandlungen) werden extrahiert. Erst danach prüfen die Ärzte des Kompetenzzentrums Ihre strukturierten Daten anhand der Ein- und Ausschlusskriterien für Therapieoptionen oder klinische Studien.
Falls Ihre Daten auf eine mögliche Eignung für eine Therapie oder Studie hinweisen, erfolgt Folgendes:
- Kontaktaufnahme über die Plattform, falls zusätzliche Informationen für die Einschätzung benötigt werden.
- Empfehlungsübermittlung an Ihren behandelnden Netzwerkarzt unter Einhaltung strenger Datenschutz- und Sicherheitsvorgaben.
- Steuerung des weiteren Prozesses (z. B. Molekulardiagnostik oder Kontaktaufnahme mit Studienstellen).
- Auswertung und Dokumentation der Ergebnisse mit Rückmeldung an den Netzwerkarzt.
Wichtig für Sie:
- Ihre Daten werden niemals per E-Mail bearbeitet – nutzen Sie ausschließlich die sichere Befundeingabe auf der Plattform.
- Jeder Zugriff auf Ihre Daten wird protokolliert, und nur autorisierte medizinische Fachkräfte des Kompetenzzentrums können identifizierbare Gesundheitsinformationen einsehen.
Sollten Sie Fragen zur Befundeingabe oder technische Probleme haben, können Sie uns kontaktieren:
CureNavi GmbH
Dietrich Bonhoeffer Straße 2
10407 Berlin
info@curenavi.com
Gen-Daten: Bei genetischen Daten handelt es sich gem. Art. 4 Nr. 13 DSGVO um personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit liefern und insbesondere aus der Analyse einer biologischen Probe gewonnen wurden.
3 Verarbeitungen im Rahmen der Plattformnutzung
Zweck der Plattform ist es, dem Teilnehmer gemeinsam mit seinem behandelnden Netzwerkarzt den Zugang zu innovativen Therapieoptionen in Gestalt von Studien oder Gendiagnostik-Verfahren zu vermitteln („Vermittlungstätigkeit“) und den Beteiligten eine effiziente, sichere und datensparsame Kommunikation zu ermöglichen.
Ferner begleiten wir den Vermittlungs- und Behandlungsprozess mit einem Lebensqualitäts-Monitoring und möchten medizinisch relevante Daten unter Berücksichtigung datenschutzrechtlicher Anforderungen der Krebsforschung zugänglich machen, um die Krebsforschung zu verbessern.
3.1 Nutzerprofil
Art und Zweck der Verarbeitung: Um unsere Plattform nutzen zu können, müssen Sie sich registrieren und ein Benutzerprofil anlegen. In der Folge wählen Sie aus einer Liste von Netzwerkärzten Ihren behandelnden Arzt aus.
Für die Erstellung Ihres Profils ist die Angabe folgender Profil-Daten erforderlich:
- Personendaten (Name, Nachname, Geburtsdatum),
- Kontaktdaten (Anschrift, E-Mail-Adresse, Telefonnummer),
- Name der Krankenkasse (zur Prüfung möglicher Erstattungsoptionen),
- behandelnder Netzwerkarzt.
Diese Daten verwenden wir, um mit Teilnehmern im Vermittlungs- und Behandlungsprozess zu kommunizieren und dem Netzwerkarzt die Zuordnung des Teilnehmers zum Behandlungsverhältnis zu ermöglichen.
Rechtsgrundlage: Erfüllung des Vertrags über die Nutzung der Plattform gemäß AGB (Art. 6 Abs. 1 lit. b DSGVO) sowie Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Empfänger: Auftragsverarbeiter für den technischen Betrieb der Plattform (Art. 28 DSGVO).
Aufbewahrungsfrist: Sie können Ihr Profil jederzeit löschen, indem Sie uns an info@curenavi.com schreiben. Bei Widerruf von Einwilligungen prüfen wir, ob eine weitere Bereitstellung möglich ist. Inaktive Profile können nach mehr als zwei Jahren gelöscht werden, sofern keine Erreichbarkeit besteht.
3.2 Erfassung von Gesundheitsdaten, Daten zur Lebensqualität
Art und Zweck der Verarbeitung: Teilnehmer können für den Vermittlungsprozess relevante Dokumente speichern, z. B. Diagnosen (PSA-Werte, Blutergebnisse, MRT, Scan), Therapien (Medikation oder Operationen), Angaben zum Gesundheitszustand, Arztbriefe und Informationen zum behandelnden Arzt.
Der Nutzer muss seine Befunddaten selbst auf der CureNavi-Plattform hochladen. Dokumente werden verschlüsselt und in einer isolierten, hochsicheren Cloud-Umgebung (AWS) gespeichert. Die Daten verlassen nicht Europa.
Unser System nutzt automatisierte Workflows (Temporal) zur Verarbeitung:
- Textextraktion und Digitalisierung mit AWS Textract,
- Strukturierung und Hervorhebung medizinischer Informationen mit KI-Modellen (u. a. über AWS Bedrock),
- Extraktion spezifischer Kriterien (z. B. Diagnosen, PSA-Werte, frühere Behandlungen).
Die strukturierten Daten werden mit Anforderungen laufender klinischer Studien abgeglichen. Extrahierte Daten und potenzielle Übereinstimmungen werden durch autorisierte Gesundheitsdienstleister und Forscher des Kompetenzzentrums überprüft. Zugriffe werden auditierbar protokolliert.
Rechtsgrundlage: Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Empfänger: Auftragsverarbeiter für den technischen Plattformbetrieb; zudem kann der angegebene Netzwerkarzt die Gesundheitsdaten auf der Plattform einsehen.
Aufbewahrungsfrist: Es gilt Ziffer 1.4.
3.3 Übermittlung zur Prüfung von Therapieoptionen
Art und Zweck der Verarbeitung: Die Prüfung, ob und unter welchen Bedingungen Teilnehmer die Voraussetzungen für Studien oder Gendiagnostik erfüllen, erfolgt durch das Kompetenzzentrum. Dazu erhält das Kompetenzzentrum Zugriff auf Gesundheitsdaten und Lebensqualitätsdaten.
Sofern Voraussetzungen erfüllt sind, werden Teilnehmer und behandelnder Netzwerkarzt über die Plattform benachrichtigt.
Während der Prüfphase hat das Kompetenzzentrum Zugriff auf hochgeladene Befunddaten, um KI-generierte Vorschläge medizinisch zu validieren.
Wichtig für den Datenschutz:
- Daten werden in dieser Phase ausschließlich von Ärzten der Charité geprüft und nicht an Dritte weitergegeben, solange keine Entscheidung getroffen wurde.
- Erst nach Zustimmung des Teilnehmers zur vorgeschlagenen Behandlung werden relevante Daten an verantwortliche Studienleiter oder Koordinatoren weitergeleitet.
Rechtsgrundlage: Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Empfänger: Kompetenzzentrum.
Aufbewahrungsfrist: Es gilt Ziffer 1.4.
3.4 Daten aus Gensequenzierungen und Teilnahme an Studien
Art und Zweck der Verarbeitung: Für die abschließende Prüfung von Studienteilnahmen und direkte Kontaktaufnahme durch das Kompetenzzentrum kann der Teilnehmer seine Profil-Daten freischalten.
Die Durchführung von Studien erfolgt durch das jeweilige Studienzentrum in eigener datenschutzrechtlicher Verantwortung außerhalb der Plattform. Entsprechende Kontaktaufnahmen erfolgen außerhalb der Plattform.
Die Durchführung einer Gendiagnostik durch das Kompetenzzentrum setzt ebenfalls die Freischaltung der Profil-Daten voraus. Ergebnisse der Gendiagnostik (klinische Interpretation) können vom Kompetenzzentrum in den Plattformdaten gespeichert werden.
Vollumfängliche Ergebnisse der Molekulardiagnostik werden getrennt von Identitäts- und Krankendaten auf Servern der Charité pseudonymisiert gespeichert; die Verknüpfung erfolgt über ein Pseudonym.
Rechtsgrundlage: Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Empfänger: Kompetenzzentrum bei Freischaltung durch den Teilnehmer.
Aufbewahrungsfrist: Es gilt Ziffer 1.4.
3.5 Basecamp
Art und Zweck der Verarbeitung: Wenn nach der ersten Prüfung keine Therapieoption vermittelt werden kann, wird das Teilnehmerprofil in den „Basecamp“-Modus versetzt. Daten bleiben auf der Plattform gespeichert und werden regelmäßig auf neue Therapieoptionen geprüft.
Wenn nach Molekulardiagnostik keine Empfehlung übermittelt werden kann, bleibt das Profil im Basecamp-Modus. Bei neuen medizinischen Erkenntnissen wird der ausgewählte Netzwerkarzt informiert.
Rechtsgrundlage: Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Empfänger: Dienstleister für technisches Hosting als Auftragsverarbeiter.
Aufbewahrungsfrist: Sie können Ihr Profil jederzeit löschen lassen; danach werden Daten ohne Rechtsgrundlage gelöscht (siehe Ziffer 1.4).
3.6 Verwendung medizinischer und genetischer Daten zu Forschungszwecken
Art und Zweck der Verarbeitung: Wir unterstützen die Forschung, damit Präzisionsmedizin für jeden Patienten möglich wird. Die Forschung dient ausschließlich dazu, die Erkennung, Behandlung und Vorbeugung von Krankheiten zu verbessern.
Mit Ihrer Teilnahme unterstützen Sie die Wissenschaft und helfen, Erkrankung und Therapien besser zu verstehen. Daten können in wissenschaftlichen Projekten als Trainingsdaten für Algorithmen genutzt werden, die Ärzte künftig in Entscheidungen unterstützen.
Für Forschungszwecke verwenden wir ausschließlich pseudonymisierte Daten, z. B.:
- Diagnosen (z. B. PSA-Werte, Alter bei Erstdiagnose, Metastasierung, Therapiesequenzen, Ansprechverhalten),
- aggregierte genetische Daten und molekularbasierte Therapieentscheidungen,
- Lokalisierung/Ursprung getesteter Gewebeproben,
- Therapien (z. B. Medikation oder Operationen) und Ansprechverhalten.
Ihre persönlichen medizinischen Daten werden pseudonymisiert, um Vertraulichkeit zu wahren. Vor einer Weitergabe an Forschungsinstitutionen werden die Daten anonymisiert.
Rechtsgrundlage: Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Empfänger: CureNavi GmbH.
Aufbewahrungsfrist: Es gilt Ziffer 1.4.
4 Änderungen der Datenschutzerklärung
Wir behalten uns das Recht vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen gesetzlichen Anforderungen entspricht oder Änderungen unserer Angebote in der Datenschutzerklärung umzusetzen, z. B. bei der Einführung neuer Dienste. Es gilt die jeweils aktuelle Version der Datenschutzerklärung.