Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir beim Betrieb von NeuroScreen (neuroscreen.de) verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage — und welche Rechte Sie dabei haben.

Wichtig vorab: EEG-Aufzeichnungen sind Gesundheitsdaten im Sinne des Art. 9 DSGVO. Wir verarbeiten sie ausschließlich auf Grundlage Ihrer ausdrücklichen, jederzeit widerruflichen Einwilligung. Ohne Einwilligung ist keine Messung möglich — das reine Besuchen der Website erfordert keine solche Einwilligung.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen des § 38 BDSG derzeit nicht vorliegen. Für alle Anliegen zum Datenschutz nutzen Sie bitte die oben genannten Kontaktdaten.

2. Besuch der Website

2.1 Server-Logfiles

Beim Aufruf unserer Seiten werden technisch notwendige Zugriffsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Referrer und Browserkennung (User-Agent).

• Zweck: Auslieferung der Seiten, Betriebssicherheit, Abwehr von Angriffen, Fehleranalyse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und störungsfreien Betrieb).
• Speicherdauer: in der Regel 14 Tage, danach automatische Löschung; längere Speicherung nur bei konkretem Sicherheitsvorfall bis zu dessen Aufklärung.

2.2 Cookies und Zugriff auf Endgeräte

Wir setzen ausschließlich technisch notwendige Cookies ein:

Diese Cookies sind für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich; die Speicherung erfolgt daher einwilligungsfrei nach § 25 Abs. 2 Nr. 2 TDDDG, die anschließende Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f bzw. lit. b DSGVO. Wir verwenden kein Tracking, keine Werbenetzwerke, keine Analyse-Dienste und keine Social-Media-Plugins. Aus diesem Grund sehen Sie bei uns auch kein Cookie-Banner. Sollten wir künftig einwilligungspflichtige Dienste einsetzen, holen wir vorher Ihre Einwilligung ein und aktualisieren diese Erklärung.

2.3 Hosting und Speicherort

Website, Anwendung und Datenbank laufen auf Servern, die wir bei der

betreiben. Die genutzten Rechenzentren stehen ausschließlich in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; die Daten werden dort ausschließlich nach unseren Weisungen verarbeitet.

Messdaten: EEG-Aufzeichnungen und die daraus erzeugten Dateien werden auf derselben Infrastruktur gespeichert — auf Serverspeicher und im S3-kompatiblen Objektspeicher von Hetzner (Hetzner Object Storage), jeweils an einem Standort in Deutschland.

Website, Anwendung, Datenbank und Messdaten verlassen die EU nicht. Die einzige Ausnahme betrifft möglichen Support-Zugriff beim E-Mail-Versand — siehe 2.4. Die jeweils aktuelle Liste der eingesetzten Auftragsverarbeiter (Art. 28 DSGVO) stellen wir Ihnen auf Anfrage zur Verfügung.

2.4 E-Mail-Versand

Unsere E-Mails — insbesondere die Anmeldelinks, mit denen Sie sich ohne Passwort einloggen — laufen über den Dienst von

Verarbeitet werden dabei Ihre E-Mail-Adresse, Betreff und Inhalt der Nachricht sowie technische Versandprotokolle. Mit Zoho besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; unser Konto ist im europäischen Rechenzentrum von Zoho angesiedelt. Soweit im Rahmen von Support oder Wartung ausnahmsweise ein Zugriff aus einem Drittland erfolgt, stützen wir diesen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung ist Teil des Nutzungsvertrags). Ein Anmeldelink ist ein Zugangsschlüssel — geben Sie ihn nicht weiter. Er ist nur kurze Zeit und nur einmal gültig.

2.5 Zeitdienst beattime.live

Für die millisekundengenaue Zeitsynchronisation von Messungen ruft Ihr Browser während einer Sitzung den von uns betriebenen Zeitdienst beattime.live auf. Dabei wird technisch bedingt Ihre IP-Adresse übertragen und in dessen Server-Logfiles verarbeitet (Zweck und Fristen wie unter 2.1). Betreiber dieses Dienstes ist derselbe Verantwortliche; eine Weitergabe an Dritte erfolgt nicht.

3. Kontaktformular und E-Mail

Wenn Sie uns über das Formular auf der Startseite oder per E-Mail schreiben, verarbeiten wir: Name, E-Mail-Adresse, Betreff, Nachrichtentext, gewählte Sprachfassung sowie — zur Abwehr von Spam — IP-Adresse und Browserkennung.

• Zweck: Bearbeitung und Beantwortung Ihrer Anfrage; Abwehr automatisierter Massenzuschriften.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation mit Interessenten und an einem missbrauchsfreien Formular).
• Speicherdauer: bis zur abschließenden Bearbeitung Ihres Anliegens und darüber hinaus längstens 6 Monate für Rückfragen; IP-Adresse und Browserkennung werden beim Abschluss des Vorgangs gelöscht. Gesetzliche Aufbewahrungspflichten (z. B. bei Geschäftsbriefen) bleiben unberührt.

Zur Begrenzung von Spam speichern wir außerdem für maximal eine Stunde einen Zähler der Absendevorgänge je IP-Adresse in unserem Zwischenspeicher.

4. Nutzerkonto

Für Messungen ist ein Konto erforderlich. Wir verarbeiten dabei:

• Zugangsdaten: E-Mail-Adresse (Anmeldung erfolgt per Anmeldelink oder Passwort), Zeitpunkte von Registrierung und Anmeldung.
• Profildaten (freiwillig, für die Zuordnung zur Vergleichsgruppe): Geburtsjahr — bewusst nicht das volle Geburtsdatum —, Geschlecht, Händigkeit, bevorzugte Sprache.
• Einwilligungen: welche Fassung welchen Dokuments Sie wann akzeptiert haben (Nachweispflicht nach Art. 7 Abs. 1 DSGVO).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags); für die Profildaten zusätzlich Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, soweit sie über das für den Vertrag Erforderliche hinausgehen.
• Speicherdauer: bis zur Löschung des Kontos. Nach Löschung verbleiben Nachweise über erteilte Einwilligungen bis zum Ablauf der Verjährungsfristen (regelmäßig 3 Jahre).

5. EEG-Messungen und Sitzungsdaten

Dies ist der Kern des Dienstes und die sensibelste Verarbeitung. Bei einer Sitzung verarbeiten wir:

• EEG-Rohdaten Ihres Stirnbands (vier Kanäle, 256 Werte pro Sekunde) einschließlich Signalqualitätsindikatoren je Elektrode;
• Zeitstempel und Synchronisationsmarken, die die Aufzeichnung mit dem gezeigten Film verknüpfen;
• Sitzungs-Metadaten: verwendeter Film und dessen Version, Beginn und Dauer, Browser- und Gerätetyp, Abbruchgründe;
• Auswertungsergebnisse: abgeleitete Kennwerte, Diagramme und Berichte.

Rechtsgrundlage: Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Den vollständigen Wortlaut finden Sie unter Einwilligung in die Verarbeitung von EEG- und Gesundheitsdaten.

Trennung und Pseudonymisierung: Messdaten werden nicht unter Ihrem Namen, sondern unter einem Pseudonym (Teilnehmerkennung) gespeichert und technisch getrennt von den Kontodaten gehalten. Sicherungskopien der Rohdaten werden verschlüsselt abgelegt.

Keine automatisierte Entscheidung: Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO statt. Berichte sind Informationen für Sie, keine Diagnosen.

Speicherdauer: bis zum Widerruf Ihrer Einwilligung oder zur Löschung des Kontos. Nach Widerruf löschen wir die Rohdaten unverzüglich, spätestens innerhalb von 30 Tagen, einschließlich der Sicherungskopien im Rahmen des jeweiligen Sicherungszyklus (längstens 90 Tage).

6. Normdatenbank und Forschung

Wenn Sie hierzu gesondert eingewilligt haben, fließen Ihre Messdaten in eine Vergleichs- bzw. Normdatenbank und in Auswertungen auf der Plattform ein — auch modulübergreifend, etwa als Kovariate in anderen Untersuchungen oder für das Training von Auswertungsverfahren.

• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (gesonderte Einwilligung); ergänzend Art. 89 DSGVO mit den dort vorgesehenen Garantien.
• Form: die Auswertung erfolgt pseudonymisiert; veröffentlicht oder an Dritte weitergegeben werden ausschließlich aggregierte oder anonymisierte Ergebnisse, aus denen Sie nicht identifizierbar sind.
• Widerruf: Sie können diese Einwilligung getrennt von der Einwilligung nach Abschnitt 5 widerrufen. Bereits anonymisierte Auswertungen und bereits veröffentlichte aggregierte Ergebnisse lassen sich nicht zurückholen — Ihre Rohdaten werden jedoch aus der Datenbank entfernt.

7. Gemeinsame Sitzungen, eigene Filme und Teilnehmerpanels

• Gemeinsame Sitzungen: Wenn Sie einer gemeinsamen Sitzung beitreten, werden Ihre Ergebnisse dieser Sitzung entsprechend der vor dem Beitritt angezeigten Sichtbarkeitseinstellung geteilt. Diese Einwilligung gilt je Sitzung und ist widerruflich.
• Eigene Filme: Von Ihnen hochgeladene Filme werden nicht inhaltlich analysiert — es werden weder Szenen noch Gesichter noch Emotionen im Bild ausgewertet. Die Markierung erfolgt ausschließlich als gleichmäßiges Zeitraster. Eigene Filme sind niemals öffentlich; sie werden vor der Annahme automatisiert auf Schadsoftware geprüft.
• Teilnehmerpanels ohne Konto: Nehmen Sie über einen Einladungslink ohne eigenes Konto teil, verarbeiten wir Ihre E-Mail-Adresse als Kennung sowie optional grobe Angaben (Altersgruppe, Geschlecht) und Ihre Messdaten. Bei Untersuchungen, die von Unternehmen beauftragt werden, ist der jeweilige Auftraggeber Verantwortlicher und wir handeln als Auftragsverarbeiter nach Art. 28 DSGVO; Sie erkennen dies an der Angabe im Einwilligungsbildschirm des Einladungslinks. Daten von Panel-Teilnehmenden fließen nicht in die Normdatenbank ein.

8. Empfänger der Daten

Wir geben Ihre Daten nur weiter, soweit dies zur Erbringung des Dienstes erforderlich ist oder Sie eingewilligt haben. Kategorien von Empfängern:

• Hetzner Online GmbH als Betreiber der Server und des Objektspeichers (Auftragsverarbeiter nach Art. 28 DSGVO, Rechenzentren in Deutschland);
• Zoho Corporation B.V. (Beneluxlaan 4B, 3527 HS Utrecht, Niederlande) als Betreiber unseres E-Mail-Dienstes für den Versand von Anmeldelinks und Benachrichtigungen (Auftragsverarbeiter nach Art. 28 DSGVO);
• Organisatoren von Untersuchungen, denen Sie ausdrücklich beigetreten sind, im Umfang der angezeigten Sichtbarkeit;
• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.

Ein Verkauf von Daten findet nicht statt. Eine Monetarisierung von Gesundheitsdaten erfolgt ausschließlich in aggregierter oder anonymisierter Form.

9. Ihre Rechte

Sie haben uns gegenüber folgende Rechte:

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit — Sie erhalten Ihre Messdaten in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung genügt eine formlose Nachricht an info@advena-partners.com. Der Widerruf der Einwilligung in die EEG-Verarbeitung ist zusätzlich jederzeit unmittelbar in den Kontoeinstellungen möglich.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen Behörde:

10. Erforderlichkeit der Bereitstellung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne E-Mail-Adresse können wir jedoch kein Konto führen, und ohne Einwilligung in die Verarbeitung von EEG-Daten können wir keine Messung durchführen. Die Einwilligung in die Nutzung für die Normdatenbank (Abschnitt 6) ist vollständig freiwillig: Sie können den Dienst auch ohne sie in vollem Umfang nutzen.

11. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt über TLS (HTTPS). Wir setzen Zugriffsbeschränkungen nach dem Prinzip der geringsten Rechte, getrennte Datenhaltung für Identitäts- und Messdaten sowie verschlüsselte Sicherungskopien ein. Die Verbindung zum Stirnband erfolgt lokal zwischen Ihrem Gerät und dem Band; wir erhalten die Daten erst über die verschlüsselte Verbindung zu unserem Server.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils gültige Fassung mit Versionsnummer und Datum finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen, die eine Verarbeitung auf Grundlage Ihrer Einwilligung betreffen, informieren wir Sie gesondert und holen erforderlichenfalls eine neue Einwilligung ein.