DATENSCHUTZ Firstbeat

Firstbeat Technologies Oy

Datenschutzerklärung – Firstbeat Life

Beschreibung der Verarbeitung personenbezogener Daten im Rahmen des Firstbeat Life-Dienstes („Dienst“), der von Firstbeat Technologies Oy erstellt wird. Dieses Dokument enthält Informationen über die Verarbeitung personenbezogener Daten gemäß der EU-Datenschutz-Grundverordnung (DSGVO).

Verantwortlicher für die Datenverarbeitung

Firstbeat Technologies Oy (Unternehmens-ID 1782772-5), Adresse Yliopistonkatu 28 A, 40100 Jyväskylä, Finnland („Firstbeat“ oder „Verantwortlicher“).

Bedingungen

„Kunde“ ist eine Person oder Organisation, die in einer Vertragsbeziehung mit Firstbeat steht, damit Firstbeat den Dienst erbringt, wobei persönliche und gemessene Informationen von den/den Subjekten, die vom Kunden definiert werden, verwendet werden.

„Subjekt“ ist die Person, deren Informationen von Firstbeat verwendet werden, um den Dienst zu erstellen, wobei Herzschlagmessdaten und andere persönliche Informationen über das Subjekt verwendet werden.

„Firstbeat Life“ ist ein im Jahr 2020 eingeführter Dienst, bei dem die Probanden eine lokale mobile Anwendung installieren müssen, die einige persönliche Informationen lokal auf ihrem Mobilgerät speichert und in der sie das Messgerät in ihrem Besitz aufbewahren. Firstbeat verarbeitet personenbezogene Daten auf seiner Datenplattform.

Hinweise zur Controller-Position

Zur Klarstellung:

Firstbeat Life Service wird immer von Firstbeat produziert. Ein „Firstbeat Life Service Provider“ ist ein Kunde, der den Service für seine eigenen Kunden oder Mitarbeiter erworben hat, aber Firstbeat ist immer der Datenverantwortliche für Firstbeat Life, wie in dieser Beschreibung beschrieben.

Ansprechpartner für den für die Verarbeitung Verantwortlichen

Der für die Datenverarbeitung Verantwortliche (Firstbeat) kann per E-Mail unter support@firstbeat.com oder telefonisch unter +358 (0)20 7631 660 kontaktiert werden. Ansprechpartner für Fragen der Informationssicherheit ist Jermu Mäkinen.

Zweck und Rechtsgrundlage der Verarbeitung der personenbezogenen Daten

Der Zweck der Verarbeitung personenbezogener Daten ist der grundlegende Betrieb des Dienstes, einschließlich des Benutzersupports, der Erhebung von Statistiken über die Nutzung des Dienstes und der Durchführung von wissenschaftlicher und Marktforschung.

Die grundlegende Funktionsweise und der Zweck des Dienstes besteht darin, eine personalisierte Analyse der Auswirkungen von Lebensstilfaktoren auf verschiedene Aspekte des Wohlbefindens bereitzustellen. Die persönlichen Qualitäten der Person, der gemessene Herzschlag und die Bewegungsanalysedaten werden verwendet, um den Dienst bereitzustellen. Der Dienst kann darüber hinaus direktes persönliches Feedback an jede einzelne Person durch einen Kunden oder Firstbeat beinhalten.

Der Service umfasst in der Regel einen anonymisierten Feedback-Bericht an den Kunden über das allgemeine Wohlbefinden einer Gruppe von Probanden als Ganzes. Die Einzelheiten des Dienstes sind im Vertrag zwischen dem Kunden und Firstbeat ausführlich beschrieben.

Personenbezogene Daten werden auch für Service-Support-Vorgänge verwendet, die in der Regel beispielsweise die Bereitstellung von Benutzerkontoinformationen umfassen.

Personenbezogene Daten können verwendet werden, um über Dienstleistungen von Firstbeat zu informieren, wie z. B. den Versand eines Newsletters oder andere Möglichkeiten zur Pflege der Kundenbeziehung. Die personenbezogenen Daten der betroffenen Person können verwendet werden, um eine persönliche Folgeanalyse gemäß den geltenden Rechtsvorschriften über personenbezogene Daten zu vermarkten.

Wenn die geltende Gesetzgebung die Einwilligung der betroffenen Person für die Verarbeitung einiger der in diesem Dokument beschriebenen personenbezogenen Daten verlangt (z. B. in Bezug auf gesundheitsbezogene Daten, d. h. sogenannte besondere Datenkategorien), wird die Einwilligung mit einer geeigneten Methode eingeholt. Dies kann beispielsweise durch das Aktivieren eines separaten Kontrollkästchens für die Einwilligung, das Treffen der Auswahl in den technischen Einstellungen des Dienstes oder der Website oder durch eine andere spezifische Handlung oder Erklärung erfolgen, um die Zustimmung zu signalisieren. Die Verweigerung der Einwilligung kann sich auf die Fähigkeit auswirken, den spezifischen Dienst anzubieten.

Protokolldaten über die Nutzung des Dienstes oder den Umgang mit Messgeräten werden zusätzlich gespeichert, um die berechtigten Interessen des Kunden, von Firstbeat und der betroffenen Personen zu wahren, z.B. um mögliche Sicherheitslücken zu untersuchen oder um z.B. nachweisen zu können, dass in Rechnung gestellte Leistungen erbracht wurden.

Personenbezogene Daten können einzeln oder zusammen mit den anderen Dateien mit personenbezogenen Daten von Firstbeat und ihren Tochtergesellschaften verarbeitet werden. Firstbeat speichert eine Kopie der im Dienst gespeicherten Daten für statistische und wissenschaftliche Forschungen, z. B. zur Bestimmung von durchschnittlichen Referenzwerten. Eine solche statistische oder wissenschaftliche Nutzung der Daten erfolgt mit automatisierten Verfahren, so dass die Daten einer einzelnen Person in keiner Phase des Prozesses identifiziert werden können. Die aggregierten Daten könnten so kombiniert werden, dass es theoretisch möglich ist, personenbezogene Daten einer Person zu identifizieren. Firstbeat führt jedoch zu keinem Zeitpunkt des Prozesses solche Maßnahmen durch.

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist die Erfüllung des Vertrags zwischen den Parteien oder das berechtigte Interesse von Firstbeat, das auf der Beziehung zwischen den Parteien beruht. Die rechtliche Begründung kann auch die Einwilligung des Subjekts sein, wenn die geltende Gesetzgebung dies vorschreibt.

Die Aufbewahrungsfrist für personenbezogene Daten

Firstbeat bewahrt personenbezogene Daten für einen Zeitraum von 36 Monaten ab der letzten Interaktion des Subjekts mit dem Dienst auf. Die Notwendigkeit, personenbezogene Daten aufzubewahren, wird regelmäßig unter Berücksichtigung der geltenden Rechtsvorschriften bewertet. Darüber hinaus unternimmt Firstbeat regelmäßig alle angemessenen Schritte, um sicherzustellen, dass die gespeicherten personenbezogenen Daten im Hinblick auf die Zwecke der Verarbeitung nicht unvereinbar, veraltet oder ungenau sind. Diese Informationen werden unverzüglich berichtigt oder gelöscht.

Einige personenbezogene Daten, die nicht in direktem Zusammenhang mit der Messung stehen und keine Daten über Herzfrequenz oder Gesundheit enthalten und die erforderlich sein können, um die berechtigten Interessen des Kunden, von Firstbeat oder der betroffenen Personen zu schützen und mögliche Probleme zu untersuchen (wie z. B. allgemeine Protokollinformationen über die Nutzung des Dienstes), werden nicht zusammen mit anderen personenbezogenen Daten gelöscht.

Firstbeat kann in Übereinstimmung mit den gesetzlichen Bestimmungen die Kontaktinformationen des Subjekts, die für die Vermarktung ähnlicher Firstbeat-Dienste erforderlich sind, in die Firstbeat-Marketingdatendatei übertragen. Diese Daten unterliegen der Kunden- und Marketingdatenschutzerklärung von Firstbeat, die auf unserer Website verfügbar ist, einschließlich der eigenen Datenspeicherungsrichtlinie.

Beschreibung des Kreises der betroffenen Personen

Die personenbezogenen Daten der teilnehmenden Personen werden im Rahmen des Dienstes verarbeitet. In einem typischen Fall ist der Kunde von Firstbeat die Organisation, die durch die Subjekte repräsentiert wird, und der Kunde bestimmt die Gruppe der Subjekte.

Reguläre Datenquellen

Der Kunde fügt die E-Mail-Adresse jedes Betreffs im Dienst hinzu. Jeder Betreff erhält dann per E-Mail eine persönliche Einladung zur Aktivierung des Dienstes.

Die anderen personenbezogenen Daten werden von den Probanden selbst über die Webschnittstelle oder die mobile Anwendung und durch die Verwendung von Messgeräten zur Verfügung gestellt. Der Kunde oder Firstbeat können zusätzlich Informationen von den Subjekten sammeln, wenn sie den Dienst bereitstellen.

Informationen werden auch analytisch durch die eigenen Aktivitäten von Firstbeat erstellt.

Die Art der personenbezogenen Daten

Die Datenbank enthält die folgenden Informationen (teilweise oder vollständig) über die Fächer:

• Vollständiger Name (Vor- und Nachname)
• E-Mail
• Geburtsdatum, Geschlecht, Größe, Gewicht
• Aktivitätsklasse, maximale und minimale Herzfrequenz
• Auswahl der Sprache der Benutzeroberfläche
• Herzfrequenz- und Beschleunigungsmessungen
• Sensible personenbezogene Daten:
  • Informationen über chronische und akute Erkrankungen und Medikamente, falls vom Betroffenen zur Verfügung gestellt
  • Body-Mass-Index
  • Maximaler Sauerstoffverbrauch und Einstufung des Fitnessniveaus
  • Herzfrequenz und Herzratenvariabilität
  • Informationen über den Herzrhythmus und mögliche damit zusammenhängende Auffälligkeiten
  • Auftreten und Intensität der festgestellten Stress- und Erholungsreaktionen
  • Respirationsrate
  • Sauerstoffverbrauch und Energieverbrauch
  • Startzeit und Schlafdauer sowie Schlafrhythmus, der durch viele Schlafphasen gebildet wird
• Zusätzlich zu den oben genannten Informationen zum allgemeinen Wohlbefinden und zur körperlichen Aktivität, wie z. B. erkannte Trainingseinheiten, Schrittzahl und Trainingseffekt.
• Tagebucheinträge, wenn sie vom Probanden während des Messzeitraums erstellt wurden, wie z.B. Alkoholkonsum, selbstdokumentierte Ereignisse, die für den Probanden bemerkenswert und von Interesse sind, und Selbsteinschätzungen zu den Tagebucheinträgen.
• Kontaktinformationen, z. B. Adresse, E-Mail-Adresse und Telefonnummer
• Informationen über den Kunden, z. B. Name, Kontaktinformationen und die Personalgruppe des Subjekts
• Andere Informationen, die die betroffene Person über den Dienst oder auf andere Weise an Firstbeat übermittelt (z. B. durch Beantwortung der Fragebögen von Firstbeat)
• Informationen über die Nutzung des Dienstes, einschließlich, aber nicht beschränkt auf die Wahl der Sprache der Benutzeroberfläche, Protokolldaten, Audit-Trail, Dienststatus und Dienstnutzung
• Informationen über das Thema, wenn sie von einem Spezialisten eingereicht werden
• Informationen über die Einwilligungen zur Verarbeitung von Daten im Rahmen des Dienstes
• Der Ergebnisbericht mit definierten Zielaktionen, der auf der Grundlage der Datenanalyse für das Subjekt erstellt wurde
• Passwort
• Sonstige Informationen mit Zustimmung der betroffenen Person

Die betroffene Person kann sich dafür entscheiden, den Dienst anonym mit einem nicht identifizierbaren Benutzernamen zu nutzen. Für die Nutzung von Firstbeat Life ist immer eine E-Mail-Adresse erforderlich. In Firstbeat Life ist die anfängliche E-Mail-Adresse des Betreffs, die für die Serviceeinladung verwendet wird, für den Kunden sichtbar, und bei der Verwaltung des Status des Servicekaufs identifiziert der Kunde den Subjekt anhand dieser Adresse (die mit der vom Subjekt gewählten Kontoadresse übereinstimmen kann oder auch nicht).

Grundsätze des Datenschutzes

Firstbeat befolgt die Best Practices für die Datenverwaltung, einschließlich geeigneter technischer und organisatorischer Maßnahmen, wie sie von der Gesetzgebung zum Schutz personenbezogener Daten gefordert werden. Firstbeat schützt die Daten so, dass nur die von Firstbeat definierten autorisierten Personen, die zur Vertraulichkeitsvereinbarung verpflichtet sind, Zugriff auf die Datei haben und nur für Zwecke, die mit ihrer Arbeit in Zusammenhang stehen. Bei diesen autorisierten Mitarbeitern von Firstbeat kann es sich um Mitarbeiter oder Subunternehmer von Firstbeat handeln.

Firstbeat stellt sicher, dass alle Datensysteme und Computerausrüstung mit geeigneten technischen Methoden ausreichend geschützt sind, einschließlich Zugangskontrolle zu physischen Räumlichkeiten, Firewalls, Passwörtern, persönlichen Benutzerkennungen und Sicherheitsschulungen für das Personal.

Die Daten werden in Informationssystemen gespeichert, die von Firstbeat gesteuert werden, und die Daten werden mit von Firstbeat entwickelten Benutzeroberflächen verarbeitet. Die Internetverbindung von der Subject-Weboberfläche zu Firstbeat ist durch Verschlüsselung (SSL) geschützt.

Etwaige Messgeräte, die per Post transportiert werden können, enthalten für sich genommen keine personenbezogenen Daten und keine Standortinformationen. Die darin enthaltenen Daten werden nur dann über eine Geräte-ID mit personenbezogenen Daten verknüpft, wenn die Daten nach dem Transport gespeichert werden oder indem die Daten lokal drahtlos an die mobile Anwendung von Firstbeat Life übertragen werden.

Setzt Firstbeat für die technische Pflege der Daten Dritte (Subunternehmer) ein, erfüllt Firstbeat die von der Datenschutzgesetzgebung geforderten Verantwortlichkeiten in Bezug auf Subunternehmer. In jedem Fall werden die Daten in Informationssystemen gespeichert, die von Firstbeat verwaltet werden, oder auf dem mobilen Gerät des Nutzers von Firstbeat Life, und weder Firstbeat noch ihre Subunternehmer werden Informationen in anderen Systemen speichern.

Übermittlung personenbezogener Daten

Personenbezogene Daten dürfen ohne Zustimmung der betroffenen Person nicht außerhalb von Firstbeat oder ihren Tochtergesellschaften in einer Weise übermittelt werden, die die Identifizierung der Daten ermöglicht, es sei denn, es liegen die folgenden außergewöhnlichen Umstände vor: wenn dies durch eine Entscheidung einer Regierungs- oder Regulierungsbehörde, eines Gerichts oder durch ein zwingendes Gesetz vorgeschrieben ist; oder wenn es anderweitig erforderlich ist, um Verstöße gegen Gesetze, Nutzungsbedingungen oder bewährte Verfahren zu verhindern oder zu untersuchen oder um die Rechte von Firstbeat oder Dritten zu schützen.

Ohne ausdrückliche, gesonderte Zustimmung der betroffenen Person werden die personenbezogenen Daten der betroffenen Personen nicht an den Kunden weitergegeben. Darüber hinaus können für Subjekte, die Firstbeat Life nutzen, die folgenden Informationen, die auf den Abonnementstatus jedes Subjekts beschränkt sind, an den Kunden übertragen werden, um den Service optimal nutzen zu können: die ursprüngliche E-Mail-Adresse, die der Kunde oder der Betreff für die Einladung angegeben hat (aber nicht die aktuelle Adresse, falls der Betreff sie geändert hat), der Name des Subjekts und die Sprache der Benutzeroberfläche als Kennungen; Datum der Erstaktivierung, wenn der Abonnementzeitraum begonnen hat; wie lange es her ist, dass dieser Benutzer den Dienst zuletzt aktiv genutzt hat; und mögliche andere entsprechende allgemeine Informationen über den Abonnementstatus, damit der Kunde sich dafür entscheiden kann, den nicht genutzten Dienst einzustellen oder den Probanden zu raten, den Dienst zu nutzen, und um Missbrauch zu verhindern. (Hinweis: Wenn es sich bei der betroffenen Person um eine Person handelt, die den Dienst für sich selbst erwirbt, ist die betroffene Person auch ein Kunde und erhält natürlich ihre eigenen personenbezogenen Daten.)

Abgesehen von diesen Informationen im Zusammenhang mit der Abonnementverwaltung kann der Kunde, wenn der Dienst von Firstbeat bereitgestellt wird, periodische Durchschnitts- oder Zusammenfassungsinformationen über das Wohlbefinden seiner Subjektgruppe als Ganzes erhalten. Die Durchschnittswerte werden nicht angegeben, wenn die Anzahl der gemessenen Personen oder die Anzahl der Datenaktualisierungen seit den vorherigen Informationen so gering ist, dass einzelne Daten direkt oder indirekt aus den Informationen oder Änderungen in den Informationen erkannt werden könnten, es sei denn, die betreffenden Personen haben ihre ausdrückliche Zustimmung zur Übermittlung gegeben. Der Kunde kann auch Informationen darüber erhalten, welche Personen den Dienst aktiv nutzen (einschließlich der Anzahl der Monate, vor denen die betroffene Person den Dienst genutzt hat).

Wenn Firstbeat Life dem Subjekt von einem Firstbeat-Kunden zur Verfügung gestellt wird, kann es erforderlich sein, dass das Subjekt der Weitergabe einiger personenbezogener Daten an den Kunden zustimmt, um das Service-Abonnement nutzen zu können. Details über die Art der personenbezogenen Daten und die Identität des Kunden sind für die betroffene Person in der mobilen Anwendung von Firstbeat Life (dem persönlichen Konto der betroffenen Person) zum Zeitpunkt der Einholung ihrer Zustimmung sichtbar.

Mit der gesonderten Zustimmung der betroffenen Person kann einer bestimmten dritten Person Zugang zu personenbezogenen Daten gewährt werden, z. B. einer Partei, die dem Betroffenen Coaching oder Gesundheitsversorgung anbietet.

Personenbezogene Daten der Betroffenen können von autorisierten Dritten verarbeitet werden, die die Daten im Auftrag von Firstbeat zu den in diesem Dokument beschriebenen Zwecken verarbeiten (z. B. Dienstleister für technische Infrastrukturen oder Dienstleistungen). Diese Dienstleister dürfen die personenbezogenen Daten nur gemäß den Anweisungen von Firstbeat verwenden, d.h. nur für den Zweck, für den die Daten erhoben wurden, und darüber hinaus gemäß der Vereinbarung, die die gesetzlich vorgeschriebenen Bedingungen für die Verarbeitung personenbezogener Daten enthält. Firstbeat verlangt, dass die Dienstleister gemäß den geltenden Gesetzen und dieser Datenschutzrichtlinie arbeiten, um eine angemessene Sicherheit für die personenbezogenen Daten zu gewährleisten.

Firstbeat übermittelt personenbezogene Daten, die in seinen Registern enthalten sind, in der Regel nicht außerhalb der EU/des EWR. Darüber hinaus können personenbezogene Daten außerhalb der EU/des EWR übermittelt werden, wenn dies für die technische Umsetzung des Dienstes erforderlich ist. In solchen Fällen stellt Firstbeat sicher, dass die zu übermittelnden personenbezogenen Daten in Übereinstimmung mit den geltenden Datenschutzgesetzen angemessen geschützt werden. Bei der Nutzung von Firstbeat Life werden personenbezogene Daten zusätzlich vorübergehend in der mobilen Anwendung des Mobilgeräts der betroffenen Person gespeichert.

Die Rechte der betroffenen Personen

Die betroffene Person hat gemäß den in Finnland geltenden Rechtsvorschriften über personenbezogene Daten, einschließlich der EU-Datenschutz-Grundverordnung (DSGVO), das Recht, ihre personenbezogenen Daten einzusehen, ihre Daten zu ändern oder deren Änderung zu verlangen, und unter bestimmten Umständen das Recht, die Löschung personenbezogener Daten zu verlangen. Daher hat die betroffene Person das Recht, Firstbeat aufzufordern, ungenaue oder unrichtige personenbezogene Daten ohne unnötige Verzögerung zu korrigieren. Die betroffene Person hat das Recht, die unverzügliche Löschung ihrer Daten zu verlangen, z. B. wenn die personenbezogenen Daten für die ursprünglichen Zwecke nicht mehr erforderlich sind, die personenbezogenen Daten unrechtmäßig verarbeitet wurden oder die betroffene Person ihre Einwilligung zur Verarbeitung widerruft und es keine andere Rechtsgrundlage für die Verarbeitung gibt.

Die betroffene Person hat das Recht, Firstbeat aufzufordern, die Verarbeitung in bestimmten Situationen einzuschränken, einschließlich wenn die betroffene Person bestreitet, dass die Informationen korrekt sind, oder wenn die Verarbeitung rechtswidrig ist. Unter bestimmten Umständen hat die betroffene Person auch das Recht, der Verarbeitung zu widersprechen.

Die betroffene Person kann unter bestimmten Umständen das Recht haben, die Übertragung personenbezogener Daten von einem System auf ein anderes zu verlangen. Wenn die Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten die Einwilligung ist, hat die betroffene Person auch das Recht, die Einwilligung jederzeit zu widerrufen.

Firstbeat möchte, dass alle Streitigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten in erster Linie auf versöhnliche Weise zwischen den Parteien beigelegt werden. Die betroffene Person hat auch das Recht, eine Beschwerde bei den für den Schutz personenbezogener Daten zuständigen Behörden einzureichen.

Alle Anträge auf Einsichtnahme, Änderung oder Löschung der personenbezogenen Daten werden Firstbeat persönlich oder durch einen unterschriebenen Brief oder ein ähnlich verifiziertes Dokument mitgeteilt, damit Firstbeat bestätigen kann, dass der Antragsteller das Recht hat, einen solchen Antrag zu stellen. Die Anfrage kann per E-Mail gestellt werden, wenn die E-Mail-Adresse verwendet wird, die bei der Nutzung des Dienstes oder bei der Nutzung der Funktionalität in der Firstbeat Life-Anwendung registriert wurde. Firstbeat muss möglicherweise das Subjekt identifizieren und zusätzliche Informationen anfordern, um diese Art von Anfragen zu erfüllen.

Diese Beschreibung der Verarbeitung personenbezogener Daten wurde am 20.10.2023 aktualisiert. Firstbeat befolgt die Änderungen der Gesetzgebung und der behördlichen Anweisungen in Bezug auf die Verarbeitung personenbezogener Daten und entwickelt den Dienst weiter und behält sich daher das Recht vor, Änderungen an dieser Beschreibung vorzunehmen.