Datenschutzerklärung

Worum es geht

Scrubli ist eine Wissensplattform für OP-Fachpersonen: zentrale OP-Vorlagen, persönliche Abläufe mit privaten Notizen und geschützte Bereiche für Organisationen wie Spitäler, mit Prüfung und Freigabe.

Diese Datenschutzerklärung beschreibt, welche Personendaten wir bearbeiten, wenn du Scrubli unter scrubli.ch nutzt: wozu, wo und wie lange, und welche Rechte du hast. Für die Demo unter demo.scrubli.ch gilt sie sinngemäss; dort gibt es nur fiktive Daten und keine Registrierung.

Scrubli ist nicht für Patientendaten gedacht. Gib keine Namen, Geburtsdaten, Fallnummern, Bilder oder andere Angaben ein, mit denen sich PatientInnen erkennen lassen – weder in Abläufen noch in Notizen, Präferenzen oder Bildern. Beim Hochladen eines Bildes bestätigst du das ausdrücklich.

Verantwortliche Stelle und Kontakt

Verantwortlich für die Bearbeitung nach dieser Datenschutzerklärung ist: [Betreiber, Rechtsform], [Adresse].

Für Fragen zum Datenschutz, für Auskunft und Löschung erreichst du uns unter [Kontakt].

[Vertretung in der EU nach Art. 27 DSGVO – zu prüfen, ob nötig]

Organisationen und Spitäler

Spitäler und andere Organisationen nutzen Scrubli für ihre hausinternen Abläufe. Für die Daten einer Organisation – Mitglieder und Rollen, Teamabläufe mit ihren Versionen, ärztliche Präferenzen, Bilder und das Protokoll der Organisation – ist die Organisation verantwortlich; wir bearbeiten diese Daten in ihrem Auftrag. [Rollenverteilung und Auftragsbearbeitungsvertrag mit der Organisation – zu prüfen]

Für persönliche Konten, deine privaten Inhalte und die Anmeldung sind wir verantwortlich.

Organisationen sind strikt voneinander getrennt: Mitglieder sehen nur Inhalte ihrer eigenen Organisation. Eine Person gehört höchstens einer Organisation an.

Deine privaten Inhalte – persönliche Abläufe, private Notizen, Favoriten, «Zuletzt geöffnet» und persönliche Bilder – siehst nur du. Auch Organisationsadmins sehen sie nicht.

Organisationsadmins sehen Name, E-Mail-Adresse und Rollen der Mitglieder ihrer Organisation. Wer eine Version verfasst und wer sie freigegeben hat, sehen die Mitglieder der Organisation in der Versionshistorie; das macht die Freigabe nachvollziehbar.

Welche Daten wir bearbeiten

Wir bearbeiten nur Daten, die du oder deine Organisation eingeben, und technische Daten, die beim Betrieb entstehen:

• Konto: Name, E-Mail-Adresse, Passwort (nur als Prüfwert gespeichert, nie im Klartext), Zeitpunkt der Registrierung und der Bestätigung deiner Adresse, optional eine Berufsbezeichnung.
• Mitgliedschaft: Organisation, Rollen, Status (eingeladen, aktiv, entfernt), wer dich eingeladen oder entfernt hat und wann.
• Inhalte einer Organisation: Teamabläufe mit allen Versionen, ärztliche Präferenzen mit dem Namen der Ärztin oder des Arztes, Änderungsvorschläge, Bilder mit Beschreibung; dazu, wer eine Version verfasst, eingereicht, zurückgegeben oder freigegeben hat und wann.
• Private Inhalte: persönliche Abläufe und Kopien, private Notizen, Favoriten, «Zuletzt geöffnet», persönliche Bilder.
• Bilder: JPG oder PNG mit Beschreibung, Dateiname, Grösse, wer das Bild hinzugefügt hat und wann. Metadaten wie Aufnahmeort, Kamera und Aufnahmezeit (EXIF) entfernen wir beim Hochladen.
• Technische Daten: ein Sitzungs-Cookie (siehe «Cookies und Tracking»); Sitzungen mit Zeitpunkt der Anmeldung und der letzten Aktivität; zum Schutz vor zu vielen Anmeldeversuchen Prüfsummen (Hashes) aus IP-Adresse und E-Mail-Adresse statt der Adressen selbst; Betriebsprotokolle mit Kennungen (IDs) statt Namen oder E-Mail-Adressen; [Anfrageprotokolle der Plattform mit Zeitpunkt, aufgerufener Adresse, IP-Adresse und Browserkennung – zu prüfen].
• Protokoll: wichtige Vorgänge wie Einladungen, Rollenänderungen, Passwort zurücksetzen, Einreichen, Rückgabe und Freigabe – mit Kennungen und Zeitpunkt, ohne Namen, E-Mail-Adressen oder Inhalte.
• E-Mails: Einladung, Bestätigung deiner Adresse, Passwort zurücksetzen und Benachrichtigungen zu Einreichung, Rückgabe und Freigabe. Sie enthalten nur deinen Namen, den Namen der Organisation, eine Versionsnummer und einen Link – nie Inhalte von Abläufen oder Notizen.

Zwecke und Rechtsgrundlagen

Wir bearbeiten Personendaten nur, soweit es für die folgenden Zwecke nötig ist. Soweit die DSGVO anwendbar ist, stützen wir uns auf die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), auf unser berechtigtes Interesse an einem sicheren Betrieb (lit. f) und auf rechtliche Pflichten (lit. c). [Rechtsgrundlagen – zu prüfen]

Wir nutzen deine Daten nicht für Werbung und verkaufen sie nicht. Wir bearbeiten deine Daten, um:

• dir ein Konto bereitzustellen und dich sicher anzumelden,
• Organisationen die gemeinsame Pflege, Prüfung und Freigabe ihrer Abläufe zu ermöglichen und nachvollziehbar zu machen, wer welche Version freigegeben hat,
• dir die E-Mails zu senden, die zur Nutzung gehören,
• Scrubli vor Missbrauch zu schützen, Fehler zu finden und den Betrieb sicherzustellen,
• Anfragen zu deinen Rechten zu beantworten und gesetzliche Pflichten zu erfüllen.

Hosting und Empfänger

Scrubli läuft bei Google Cloud in der Region Zürich (europe-west6). Dort liegen die App, die Datenbank mit allen Inhalten, die Bilder, die Datensicherungen (Backups), die Zugangsschlüssel der App und die Betriebsprotokolle der App.

Nicht alles bleibt ausschliesslich in Zürich: Der vorgeschaltete Lastverteiler von Google, der die verschlüsselte Verbindung (TLS) entgegennimmt, die Zertifikate und der Schutz vor Überlastung laufen global im Netz von Google; sie verarbeiten Verbindungsdaten nur während der Anfrage. Protokolle über Verwaltungszugriffe auf die Google-Cloud-Infrastruktur, ohne Inhalte der App, speichert Google global.

E-Mails versenden wir über Brevo (Sendinblue SAS, Frankreich) mit Verarbeitung in der EU. [Standort der Verarbeitung bei Brevo – zu prüfen]

Google Cloud (Google Cloud EMEA Limited, Google LLC) und Brevo bearbeiten Daten in unserem Auftrag und setzen eigene Unterauftragnehmer ein. Google LLC hat ihren Sitz in den USA; ein Zugriff aus den USA lässt sich nicht ausschliessen. [Garantien für die Bekanntgabe ins Ausland, z. B. Standardvertragsklauseln im Cloud Data Processing Addendum – zu prüfen]

Wir geben deine Daten nicht zu Werbezwecken weiter. Übersicht:

• Google Cloud, Region Zürich: App, Datenbank, Bilder, Datensicherungen, Zugangsschlüssel, Betriebsprotokolle.
• Google Cloud, global: Lastverteiler und TLS, Zertifikate, Schutz vor Überlastung, Protokolle über Verwaltungszugriffe ohne Inhalte der App.
• Brevo, EU: Versand der E-Mails.

Cookies und Tracking

Scrubli setzt genau ein Cookie: das Sitzungs-Cookie, das dich nach der Anmeldung angemeldet hält. Es enthält eine zufällige Kennung, ist für Skripte nicht lesbar und wird nur verschlüsselt übertragen. Nach 30 Minuten ohne Aktivität ist die Sitzung ungültig, spätestens nach 30 Tagen.

Wir verwenden keine Analyse- oder Tracking-Werkzeuge und keine Werbung. Deshalb gibt es kein Cookie-Banner.

Aufbewahrung und Löschung

Wir speichern Daten nur so lange wie nötig. Abgelaufene Daten löscht eine tägliche Bereinigung.

Wer eine Version verfasst und wer sie freigegeben hat, steht an der Version selbst und bleibt erhalten, solange die Version besteht.

Gelöschte Daten können noch bis zu 30 Tage in Datensicherungen und im Papierkorb des Bildspeichers liegen. Dort sind sie nur für den Betreiber zugänglich und werden danach endgültig gelöscht.

Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Massnahmen, unter anderem:

• Verbindungen sind verschlüsselt (TLS); Google speichert die Daten verschlüsselt.
• Passwörter speichern wir nur als Prüfwert, Links und Sitzungen nur als Prüfsumme.
• Der Server prüft bei jedem Zugriff die Berechtigung; die Datenbank trennt Organisationen und private Inhalte zusätzlich.
• Freigegebene Versionen lassen sich nicht mehr ändern, und jede Freigabe braucht eine zweite Person (Vier-Augen-Prinzip).
• Nach 30 Minuten ohne Aktivität meldet Scrubli dich ab, auch auf geteilten Geräten.
• Zugriff auf die Produktionsdaten hat nur der Betreiber.

Deine Rechte

Du hast das Recht auf Auskunft über deine Daten, auf Berichtigung, auf Löschung, auf Herausgabe in einem gängigen Format und auf Widerspruch gegen eine Bearbeitung.

Schreib dafür an [Kontakt], und zwar von der E-Mail-Adresse deines Kontos. So wissen wir, dass die Anfrage von dir kommt; sonst fragen wir an diese Adresse zurück. Wir antworten innert 30 Tagen.

Auskunft: Du erhältst deine Kontodaten, Mitgliedschaften, persönlichen Abläufe, Notizen, Favoriten, «Zuletzt geöffnet» und persönlichen Bilder sowie eine Liste deiner Beiträge in einer Organisation, ohne deren Inhalte.

Löschung: Wir löschen dein Konto, deine privaten Inhalte und deine Anmeldedaten. Beiträge in einer Organisation, etwa Versionen, die du verfasst oder freigegeben hast, bleiben für die Nachvollziehbarkeit der Freigabe erhalten; dort steht danach «Gelöschtes Konto» statt deines Namens. [Umgang mit Namen in der Organisationshistorie – zu prüfen]

Für Daten einer Organisation ist diese zuständig (siehe «Organisationen und Spitäler»); wir unterstützen sie dabei.

Du kannst dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren, in der EU bei der Datenschutzaufsicht deines Wohnsitzes.

Patientendaten oder Sicherheitsproblem melden

Hast du in Scrubli Patientendaten entdeckt, zum Beispiel ein Bild mit einem lesbaren Namen, oder ein Sicherheitsproblem? Melde es bitte sofort an [Kontakt]. Nenne, wo du es gesehen hast (Ablauf, Abschnitt, Bild), aber schick keine Patientendaten mit.

Ein betroffenes Bild entfernen wir [innert eines Arbeitstags – zu prüfen] aus allen Versionen und informieren die Organisation. Danach ist es sofort nicht mehr abrufbar und nach spätestens 30 Tagen auch aus dem Papierkorb des Speichers gelöscht.

Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Scrubli oder die Rechtslage ändert. Es gilt die Fassung mit dem Stand oben auf dieser Seite. [Information über wesentliche Änderungen – zu prüfen]