Datenschutzbestimmungen arriba-web.de

1. Verantwortliche

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

GPZK – gemeinnützige Gesellschaft für patientenzentrierte Kommunikation mbH
Erich-Schlesinger-Str. 62
18059 Rostock
Telefon: +49-0381–20270393
E-Mail: info@gpzk.de

2. Datenschutzrechtlicher Ansprechperson

Die GPZK hat eine interne datenschutzrechtliche Ansprechperson benannt, die für Fragen zum Datenschutz zuständig ist. Diese ist unter folgender Adresse erreichbar:

GPZK – gemeinnützige Gesellschaft für patientenzentrierte Kommunikation mbH
– Datenschutz –
Erich-Schlesinger-Str. 62
18059 Rostock
E-Mail: datenschutz@gpzk.de

3. Zweck und Gegenstand der Anwendung

arriba ist eine webbasierte Anwendung zur medizinischen Risikoberechnung für niedergelassene Hausärztinnen und Hausärzte. Die Anwendung unterstützt bei der Berechnung kardiovaskulärer, diabetischer, depressiver, arrhythmischer und urologischer Risikoscores auf Basis anonym eingegebener Patientenparameter (z. B. Alter, Blutdruck, Cholesterin). Die berechneten Risikoscores dienen als Entscheidungsunterstützung in der ärztlichen Konsultation.

Im Normalbetrieb werden Gesundheitsparameter ausschließlich im flüchtigen Sitzungsspeicher gehalten und nach Sitzungsende verworfen. Es werden keine Patientenidentifikatoren verarbeitet.

Diese Datenschutzerklärung richtet sich an die registrierten Nutzerinnen und Nutzer der Plattform - Ärztinnen und Ärzte, Praxispersonal sowie Lizenzverwalter (z. B. Genossenschaftsmitglieder). arriba speichert keine Patientendaten. Die gesamte Kommunikation zwischen Browser und Server erfolgt ausschließlich verschlüsselt über HTTPS (TLS).

4. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

a) Registrierungs- und Zugangsdaten

Bei der Registrierung für arriba werden E-Mail-Adresse und, auf freiwilliger Basis, die Praxisadresse verarbeitet. Diese Daten sind erforderlich, um den Zugang zur Anwendung zu ermöglichen und Lizenzrechte zu verwalten. Rechtsgrundlage ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Die freiwillige Speicherung der Praxisadresse erfolgt ebenfalls auf Grundlage der Einwilligung, die über eine gesonderte Opt-in-Funktion erteilt wird.

Je nach Registrierungsweg unterscheiden sich die erhobenen Daten:

• Selbstregistrierung über das arriba-Registrierungsportal: E-Mail-Adresse und ein vom Nutzer gewähltes Passwort. Das Passwort wird ausschließlich als kryptografischer Hash im Identitätsdienst Keycloak gespeichert; das Klartextpasswort verlässt den Browser nicht und wird nicht protokolliert.
• Genossenschaftsregistrierung: zusätzlich ein Registrierungscode, der die Zuordnung zur jeweiligen Genossenschaftsgruppe ermöglicht.
• Anmeldung über Deximed (OIDC-Föderation): Die Authentifizierung erfolgt über den Identitätsdienst von Deximed. arriba erhält im Rahmen der OIDC-Anmeldung E-Mail-Adresse und Rollen; ein lokaler Passwort-Hash wird in diesem Fall nicht gespeichert.
• HPM-Modus (Magic-Link): Es findet keine vorherige Registrierung in arriba statt. Der Zugang erfolgt über einen vom Praxisverwaltungssystem ausgegebenen Einmal-Token (One-Time-Token). Der Token verfällt nach erstmaliger Nutzung.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf führt zur Löschung des Nutzerkontos. Hierdurch wird die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht berührt.

b) Pseudonyme Nutzungsstatistiken

Zur Qualitätssicherung und Weiterentwicklung der Plattform werden pseudonyme Nutzungsstatistiken (Tracking-Events) erfasst. Jedes Ereignis enthält einen pseudonymen Referenzwert, einen Zeitstempel sowie ein Ereignismerkmal (z. B. Modulstart, Modulabschluss). Klartextidentitäten werden im Tracking-System nicht gespeichert. Die Daten werden nach drei Monaten automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

c) HPM-Modus (Anbindung an Praxisverwaltungssysteme)

Im HPM-Modus werden Konsultationsdaten pseudonymisiert gespeichert: Ein Konsultationsobjekt wird ausschließlich mit einer zufälligen Konsultations-UUID und einer Praxiskennung verknüpft. Patientennamen, Geburtsdaten oder Versicherungsnummern werden nicht übertragen. Die Daten werden nach spätestens 12 Stunden automatisch gelöscht.

Aus Sicht des arriba-Systems weisen die Konsultationsdaten keinen Personenbezug auf, da eine Identifizierung einzelner Patient:innen ohne die in der Praxis vorliegende Zuordnungstabelle nicht möglich ist. Die datenschutzrechtliche Verantwortung für die Verarbeitung im Rahmen des Behandlungsverhältnisses — einschließlich der Zuordnung zwischen Konsultations-UUID und Patient:in — liegt bei der jeweiligen Arztpraxis. Rechtsgrundlage für die Verarbeitung der Gesundheitsdaten in der Praxis ist regelmäßig Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) in Verbindung mit § 22 BDSG.

d) Studienteilnahme

Für die Teilnahme an wissenschaftlichen Studien, die über die arriba-Plattform durchgeführt werden, können im Rahmen der Studienregistrierung zusätzliche Angaben erhoben werden (z. B. die Postleitzahl der Praxis zur Zuordnung zu einer Studienregion). Welche Daten im Einzelnen erhoben werden, ergibt sich aus dem jeweiligen Registrierungsformular. In Verbindung mit dem Nutzerkonto handelt es sich um personenbezogene Daten gemäß DSGVO. Rechtsgrundlage ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die im Rahmen der Studienregistrierung erteilt wird. Die studienbezogenen Daten werden für die Dauer der Studienteilnahme gespeichert und nach Abschluss der jeweiligen Studie gelöscht.

e) Server-Zugriffsprotokolle

Beim Aufruf der Anwendung verarbeitet der Webserver technische Zugriffsdaten, insbesondere IP-Adressen, Zeitstempel, aufgerufene URLs sowie verwendete Browser-Typen. Zur Wahrung des Grundsatzes der Datenminimierung werden IP-Adressen vor der Protokollierung automatisch gekürzt: Bei IPv4-Adressen werden die letzten beiden Oktette entfernt (z. B. 192.168.x.x → 192.168), bei IPv6-Adressen werden nur die ersten drei Gruppen beibehalten. Eine Rückidentifizierung einzelner Personen anhand der protokollierten Daten ist damit ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Verfügbarkeit des Dienstes).

5. Auftragsverarbeiterin

Der technische Betrieb der arriba-Plattform erfolgt durch die theCo.de AG als Auftragsverarbeiterin gemäß Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) liegt vor. Die Server befinden sich in deutschen Rechenzentren der Hetzner Online GmbH (Nürnberg). Verschlüsselte Datensicherungen werden im Rechenzentrum Falkenstein der Hetzner Online GmbH aufbewahrt. Beide Standorte unterliegen europäischem Datenschutzrecht.

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union findet nicht statt.

6. Speicherdauer

7. Cookies und ähnliche Technologien

arriba setzt ausschließlich technisch notwendige Cookies und vergleichbare Speichermechanismen ein. Eine Einwilligung ist hierfür gemäß § 25 Abs. 2 Nr. 2 TTDSG nicht erforderlich. Analyse-, Marketing- oder Tracking-Cookies werden nicht eingesetzt. Im Einzelnen:

• JSESSIONID — Standard-Sitzungscookie. Es identifiziert die HTTP-Sitzung am Server und wird nach Sitzungsende oder Inaktivität gelöscht.
• Keycloak-Sitzungscookies (bei Anmeldung über Keycloak) — werden vom Identitätsdienst Keycloak gesetzt und dienen der Aufrechterhaltung der OIDC-Sitzung.
• hpm.browserId (nur im HPM-Modus) — eine zufällig generierte Kennung (UUID) mit einer Gültigkeit von 24 Stunden. Sie dient ausschließlich der Erkennung paralleler Browser-Sitzungen, um die Sicherheit der Konsultationssitzungen zu gewährleisten (z. B. Schutz vor versehentlich offen gebliebenen Konsultationen in anderen Browser-Tabs). Die Kennung ist im Verbund mit den Konsultationsdaten der Arztpraxis grundsätzlich personenbeziehbar; die datenschutzrechtliche Verantwortung für diese Verknüpfung liegt bei der jeweiligen Arztpraxis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sitzungssicherheit).
• HTML5 localStorage und sessionStorage (nur im HPM-Modus) — speichern eine Konsultations-UUID im Browser, um eine missbräuchliche parallele Nutzung derselben Konsultation in mehreren Browser-Tabs zu erkennen. Die gespeicherten Werte enthalten keine Klartextidentitäten.

8. Ihre Rechte als betroffene Person

Als betroffene Person stehen Ihnen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Übermittlung Ihrer Daten in einem gängigen, maschinenlesbaren Format verlangen.
• Widerspruch (Art. 21 DSGVO): Sie können der auf berechtigtem Interesse gestützten Verarbeitung (Nutzungsstatistiken) widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte schriftlich oder per E-Mail an den unter Ziffer 2 genannten Ansprechpartner.

9. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die regelbasierte Freischaltung lizenzierter Module anhand der Lizenzzuordnung Ihres Nutzerkontos stellt keine automatisierte Entscheidung im Sinne dieses Artikels dar.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die zuständige Aufsichtsbehörde für die GPZK ist:

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern
Schloss Schwerin
19053 Schwerin
E-Mail: info@datenschutz-mv.de

Stand: Mai 2026