6. Datenübermittlung in Drittländer
6.1. USA-Transfer und Hinweise zu Risiken
Unsere Plattform wird technisch von der Liftric GmbH betrieben, die u. a. Dienste der Amazon Web Services EMEA SARL (AWS) mit Serverstandorten innerhalb der Europäischen Union nutzt.
Obwohl die Speicherung und Verarbeitung Ihrer personenbezogenen Daten in Rechenzentren innerhalb der EU erfolgt, kann aufgrund der Konzernstruktur nicht ausgeschlossen werden, dass ein Zugriff aus einem Drittland (z. B. USA) rechtlich möglich wäre, etwa auf Grundlage des US CLOUD Act. In den USA besteht kein mit der EU vergleichbares Datenschutzniveau. Insbesondere kann nicht in allen Fällen sichergestellt werden, dass US-Behörden auf den Zugriff verzichten oder dass Ihnen dort dieselben Betroffenenrechte wie in der EU zustehen.
6.2.Bestehende Schutzmaßnahmen
Für mögliche Datenübermittlungen in Drittländer setzen wir geeignete Garantien gemäß Art. 46 DSGVO ein, insbesondere die Standardvertragsklauseln der EU-Kommission in Verbindung mit zusätzlichen technischen und organisatorischen Maßnahmen. Dazu gehören:
-
- Verschlüsselung der gespeicherten Daten („at rest“)
- TLS/SSL-gesicherte Übertragungswege („in transit“)
- Rollenbasierte Zugriffskontrollen
- Regelmäßige Audits und Sicherheitsüberprüfungen
6.3. Technische und organisatorische Maßnahmen (TOMs)
Zum Schutz Ihrer personenbezogenen Daten setzen wir die folgenden technischen und organisatorischen Maßnahmen um. Diese werden regelmäßig überprüft und fortlaufend verbessert:
TLS/SSL-Verschlüsselung
Alle Datenübertragungen zwischen Ihrem Endgerät und unserer Plattform erfolgen ausschließlich über verschlüsselte Verbindungen (TLS/SSL) mit der jeweils höchsten vom Browser unterstützten Verschlüsselungsstufe.
Zugriffskontrollen und Rollenmanagement
Der Zugriff auf personenbezogene Daten ist ausschließlich autorisierten Personen vorbehalten. Rollen- und Rechtekonzepte stellen sicher, dass nur befugte Mitarbeiter Zugriff auf die für ihre Tätigkeit erforderlichen Daten haben.
Token-Authentifizierung (JWT)
Der Zugriff auf Nutzerkonten erfolgt nach erfolgreicher Anmeldung über sichere JSON Web Tokens (JWT), die zeitlich begrenzt gültig sind und automatisch erneuert werden müssen.
Datenverschlüsselung „at rest“
Sämtliche personenbezogenen Daten und Gesundheitsdaten werden in einer verschlüsselten Datenbank (Amazon RDS, Standort EU) gespeichert. Dateien wie Laborberichte oder PDF‑Laborberichte werden verschlüsselt in Amazon S3 (Standort EU) abgelegt. Die Schlüsselverwaltung erfolgt über den AWS Key Management Service (KMS).
Backup-Strategie
Es erfolgen tägliche, verschlüsselte Backups sämtlicher relevanter Daten. Die Backups werden auf getrennten Speichersystemen gesichert und regelmäßig auf Wiederherstellbarkeit getestet..
Audit-Logging
Zugriffe auf sensible Daten und sicherheitsrelevante Aktionen werden manipulationssicher protokolliert, um unbefugte Aktivitäten erkennen und nachvollziehen zu können..
Upload-Validierung
Hochgeladene Dateien und strukturierte Daten (z. B. im Rahmen der Probenregistrierung) werden serverseitig auf Integrität, erlaubte Formate und Unbedenklichkeit geprüft, bevor sie weiterverarbeitet werden.
Netzwerk- und Laufzeit-Isolation
Die Systeme sind durch Netzwerksegmentierung, private Subnetze und isolierte Container‑Laufzeitumgebungen geschützt, um unberechtigte Zugriffe zu verhindern.
Hochverfügbarkeits- und Redundanzmaßnahmen
Die Plattform ist redundant ausgelegt und wird in mehreren unabhängigen Rechenzentrums‑Zonen (AWS Availability Zones) betrieben, um Ausfälle zu vermeiden und eine hohe Verfügbarkeit sicherzustellen.
6.4. Ihre Rechte als betroffene Person
Sie haben nach der Datenschutz-Grundverordnung (DSGVO) folgende Rechte:
Auskunftsrecht (Art. 15 DSGVO)
Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
Recht auf Berichtigung (Art. 16 DSGVO)
Sie können die Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten verlangen.
Recht auf Löschung (Art. 17 DSGVO)
Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Sie können verlangen, dass wir die Verarbeitung Ihrer Daten einschränken, z. B. bei strittiger Richtigkeit oder Widerspruch.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder an einen anderen Verantwortlichen übertragen lassen.
Widerspruchsrecht (Art. 21 DSGVO)
Sie können der Verarbeitung Ihrer Daten aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Gegen Direktwerbung können Sie jederzeit ohne Angabe von Gründen Widerspruch einlegen.
Widerrufsrecht bei Einwilligung (Art. 7 Abs. 3 DSGVO)
Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)
Sie können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, z. B. bei:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden
E-Mail: poststelle@datenschutz.hessen.de
6.5.Automatisierte Entscheidungsfindung / Profiling
Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.
6.6. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung jederzeit zu ändern, um sie an neue rechtliche Anforderungen oder Änderungen unserer Leistungen anzupassen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Version.
6.7. Versionsangabe und Standdatum
Version: 1.0
Stand: 14.08.2025