Datenschutzhinweise zur Online-Menübestellung für Patient*innen im Gemeinschaftskrankenhaus Herdecke

Wir stellen Ihnen die Möglichkeit zur Verfügung, Ihre Menüwünsche während Ihres Aufenthalts über das Online-Menübestellsystem „HospiChef“ zu erfassen.

Die HospiChef UG (haftungsbeschränkt), Gartenstraße 9, 87656 Germaringen, stellt hierfür die technische Anwendung bereit und verarbeitet personenbezogene Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrages gemäß Art. 28 DSGVO.

Im Folgenden informieren wir Sie gemäß Art. 13 DSGVO über die Verarbeitung Ihrer personenbezogenen Daten in diesem Zusammenhang.

1. Verantwortlicher für die Datenverarbeitung

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten ist:

Gemeinschaftskrankenhaus Herdecke gGmbH

Gerhard-Kienle-Weg 4

58313 Herdecke

Telefon 02330 62-0

E-Mail: info@gkh.de

Für Fragen zum Datenschutz erreichen Sie unsere Datenschutzbeauftragte unter:

FACT GmbH

Hohenzollernring 70

48145 Münster

E-Mail: datenschutz@gkh.de

2. Beschreibung der Datenverarbeitung

Das Menübestellsystem wird Patient*innen über einen QR-Code bereitgestellt. 

Bei der Nutzung des Menübestellsystems werden je nach Konfiguration und technischer Anbindung insbesondere folgende personenbezogene Daten verarbeitet:

• Identifikations- und Stammdaten, z. B. Name, Patienten-ID, Aufnahmenummer oder interne Kennung,
• Aufenthalts- und Zuordnungsdaten, z. B. Station, Zimmer, Bett, Anreise-/Entlasstag, vorläufiger Entlasstag, OP-Tag oder Abwesenheiten,
• ernährungs- und verpflegungsrelevante Informationen, z. B. Kostform, Allergien, Lebensmittelunverträglichkeiten, Portionsgrößen und Essensvorlieben,
• Bestell- und Auswahlinformationen, z. B. gewählte Gerichte, Komponenten, Bestellzeitpunkte, Änderungen und Stornierungen,
• technische Nutzungsdaten, z. B. IP-Adresse, Sitzungskennung, Browserinformationen, Geräteinformationen und Zugriffszeitpunkte.

Die Daten werden benötigt, um Ihre Menübestellungen entgegenzunehmen und zu bearbeiten, ernährungsrelevante Anforderungen zu berücksichtigen und die Speisenbereitstellung während Ihres Aufenthalts zu ermöglichen.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Bereitstellung der Online-Menübestellung während Ihres Aufenthalts,
• Entgegennahme und Bearbeitung Ihrer Menüwünsche,
• Berücksichtigung von Kostformen, Allergien, Lebensmittelunverträglichkeiten und sonstigen ernährungsrelevanten Angaben,
• Organisation der Speisenproduktion, Speisenverteilung und Speisenausgabe,
• technischer Betrieb, Fehlerbehebung, IT-Sicherheit und Support der Anwendung.

Rechtsgrundlagen der Verarbeitung sind:

• Art. 6 Abs. 1 lit. b DSGVO, soweit die Menübestellung Bestandteil Ihres Behandlungs-, Aufnahme-, Aufenthalts- oder Versorgungsverhältnisses ist. 
• Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit den einschlägigen nationalen Vorschriften, soweit Gesundheitsdaten oder ernährungsbezogene Gesundheitsinformationen verarbeitet werden. 
• Art. 6 Abs. 1 lit. f DSGVO, soweit technische Nutzungsdaten zur Sicherstellung des Betriebs, der IT-Sicherheit, der Fehleranalyse und der Stabilität der Anwendung verarbeitet werden. Unser berechtigtes Interesse liegt in einem sicheren, stabilen und funktionsfähigen Betrieb der Anwendung. [bei öffentlichen Stellen ggf. Art. 6 Abs. 1 lit. e DSGVO prüfen]

4. Empfänger und eingesetzte Dienstleister

Innerhalb des Krankenhauses erhalten nur die Stellen Zugriff auf Ihre Daten, die diese zur Erfüllung der oben genannten Zwecke benötigen, insbesondere Küche, Service, Pflege, Diätassistenz, Verwaltung, IT und berechtigte Administrator*innen.

Zur technischen Bereitstellung des Menübestellsystems setzen wir HospiChef als Auftragsverarbeiter ein. HospiChef verarbeitet personenbezogene Daten ausschließlich in unserem Auftrag und nach unseren Weisungen.

HospiChef kann zur Leistungserbringung genehmigte Unterauftragnehmer einsetzen, insbesondere für Hosting, E-Mail-Versand, technische Analyse und Optimierung der Nutzerfreundlichkeit, Monitoring/Observability sowie — soweit entsprechende Funktionen genutzt werden — Zahlungsabwicklung. Die jeweils eingesetzten Unterauftragnehmer ergeben sich aus der Auftragsverarbeitungsvereinbarung bzw. den dort geregelten Informationen.

Eine Übermittlung personenbezogener Daten in Drittstaaten außerhalb der EU/des EWR erfolgt nicht.

Eine Weitergabe an sonstige Dritte erfolgt nicht, sofern keine gesetzliche Verpflichtung besteht oder dies zur Durchführung der Menübestellung erforderlich ist.

5. Speicherdauer

Ihre personenbezogenen Daten werden nur so lange gespeichert, wie dies für die Durchführung der Menübestellung, die Speisenbereitstellung, die Nachvollziehbarkeit der Verarbeitung, die IT-Sicherheit sowie zur Erfüllung gesetzlicher oder vertraglicher Pflichten erforderlich ist.

Patienten- und Bestelldaten werden bei HospiChef standardmäßig für 10 Jahre gespeichert. Die Frist orientiert sich an den gesetzlichen Aufbewahrungsfristen für Behandlungsdokumentationen. Nach Ablauf der Aufbewahrungsfrist werden die entsprechenden Daten gelöscht.

Technische Protokolldaten / Technische Logs, die insbesondere für den sicheren Betrieb, die Fehleranalyse und die technische Nachvollziehbarkeit erforderlich sind, werden für 90 Tage gespeichert und anschließend gelöscht. Zu den protokollierten technischen Informationen können unter anderem Zeitstempel, aufgerufene Seiten bzw. API-Endpunkte, HTTP-Methoden und Statuscodes sowie Browser- bzw. Clientinformationen gehören. IP-Adressen werden in den regulären Anwendungslogs grundsätzlich anonymisiert verarbeitet.

6. Technische und organisatorische Maßnahmen

Zum Schutz Ihrer personenbezogenen Daten werden technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO eingesetzt. Diese dienen insbesondere dem Schutz vor unbefugtem Zugriff, Verlust, Manipulation und unberechtigter Weitergabe. Die Datenübertragung erfolgt verschlüsselt.

7. Technisch erforderliche Cookies und vergleichbare Technologien

Für die Bereitstellung der Anwendung können technisch erforderliche Cookies, Local-Storage-Einträge oder vergleichbare Technologien verwendet werden, z. B. zur Sitzungssteuerung, Anmeldung, Sprachauswahl oder Sicherheit der Anwendung. Diese Technologien sind für die Nutzung der Online-Menübestellung erforderlich.

Nicht erforderliche Analyse-, Marketing- oder Trackingtechnologien werden nur eingesetzt, soweit hierfür eine gesonderte Rechtsgrundlage besteht.

8. Optionale Funktionen 

8.1 Push-Benachrichtigungen

Sofern Sie Push-Benachrichtigungen aktivieren, können wir Ihnen über die Anwendung Hinweise senden, z. B. zu Bestellfristen, Änderungen im Speisenangebot oder Feedbackanfragen. Hierfür können technische Identifikatoren Ihres Endgeräts bzw. Browsers verarbeitet werden, damit die Benachrichtigung zugestellt werden kann.

Die Aktivierung erfolgt nur, wenn Sie Push-Benachrichtigungen in Ihrem Browser bzw. auf Ihrem Endgerät zulassen. Sie können die Benachrichtigungen jederzeit über die Einstellungen Ihres Browsers bzw. Endgeräts wieder deaktivieren.

8.2 Feedback

Sofern eine Feedbackfunktion genutzt wird, können Sie Rückmeldungen zur Speisenversorgung abgeben. Freitextangaben sollten keine sensiblen Informationen enthalten, soweit diese für die Rückmeldung nicht erforderlich sind.

8.3 Wahlleistungen / Shop / Zahlungsabwicklung

Sofern über HospiChef kostenpflichtige Zusatzangebote, Wahlleistungen oder Shop-Artikel bestellt werden können, werden zusätzlich zu den oben genannten Daten insbesondere folgende Daten verarbeitet: ausgewählte Artikel oder Leistungen, Preise, Bestellzeitpunkte, Bestellstatus, Stornierungen, Erstattungen sowie technische Transaktions- und Zustimmungsmetadaten, z. B. Referenz auf die zum Zeitpunkt der Bestellung geltenden Verkaufsbedingungen.

Die Verarbeitung erfolgt zur Anzeige und Abwicklung des Angebots, zur Durchführung des Checkouts, zum Nachweis des Vertragsschlusses, zur Bearbeitung von Stornos, Rückerstattungen, Reklamationen und Zahlungsstörungen sowie zur technischen Fehleranalyse und Missbrauchsprävention.

Vertragspartner für die angebotenen Artikel oder Leistungen ist [Name des Verkäufers / der Einrichtung / Betreiber- oder Servicegesellschaft]. HospiChef stellt die technische Shop- und Checkout-Funktion bereit. Die für den Vertragsschluss erforderlichen Verkaufsbedingungen, Verbraucherinformationen und Anbieterinformationen werden im Checkout gesondert angezeigt. Diese vertragsbezogenen Informationen ersetzen nicht die vorliegenden Datenschutzhinweise.

Für die Zahlungsabwicklung kann ein Zahlungsdienstleister, insbesondere Stripe, eingesetzt werden. HospiChef verarbeitet dabei keine vollständigen Zahlungsdaten wie Karten- oder Kontodaten, sondern erhält grundsätzlich nur technische Referenzen und Statusinformationen, z. B. Zahlungsstatus, Transaktions-ID oder Zeitstempel. Zahlungsdaten werden durch den jeweils eingebundenen Zahlungsdienstleister verarbeitet. [bitte eingesetzten Zahlungsdienstleister, Rolle, Datenschutzinformationen und Rechtsgrundlagen prüfen]

Soweit HospiChef Shop- oder Transaktionsdaten zur technischen Bereitstellung des Shops im Auftrag des Verkäufers verarbeitet, erfolgt dies auf Grundlage der Auftragsverarbeitung. Soweit HospiChef Daten zur Absicherung des Plattformbetriebs, zur technischen Fehleranalyse, zur Abrechnung von Plattformentgelten oder zur Abwehr von Missbrauchs- und Dispute-Risiken verarbeitet, kann dies in eigener datenschutzrechtlicher Verantwortlichkeit von HospiChef erfolgen.

8.4 Payroll-Verrechnung / Mitarbeitendenbestellung

Sofern Bestellungen von Mitarbeitenden über eine Lohn- oder Gehaltsabrechnung verrechnet werden, können zusätzlich Bestellbeträge, Abrechnungszeiträume, Personal- oder Mitarbeiterkennungen und abrechnungsrelevante Transaktionsdaten verarbeitet und an die hierfür zuständigen internen Stellen übermittelt werden.

Die Verarbeitung erfolgt zur Zuordnung und Abrechnung der durch Mitarbeitende ausgelösten Bestellungen.

8.5 Automatische Übersetzung / KI-gestützte Funktionen

Sofern automatische Übersetzungen oder KI-gestützte Funktionen eingesetzt werden, dienen diese grundsätzlich der Anzeige und Verständlichkeit von Speiseplänen, Komponenten, Beschreibungen oder sonstigen Inhalten. Personenbezogene Daten werden hierbei nur verarbeitet, soweit dies für die jeweilige Funktion erforderlich ist.

9. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Recht auf Auskunft über Ihre gespeicherten personenbezogenen Daten (Art. 15 DSGVO),
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Recht auf Löschung Ihrer Daten (Art. 17 DSGVO),
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
• Recht auf Widerspruch gegen Verarbeitungen, soweit die gesetzlichen Voraussetzungen vorliegen (Art. 21 DSGVO).

Zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte an die oben genannten Kontaktdaten.

Sollten Sie sich unmittelbar an HospiChef wenden, wird HospiChef Ihr Anliegen an uns weiterleiten, soweit es sich auf die Verarbeitung im Rahmen der Online-Menübestellung bezieht.

10. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet im Rahmen der Online-Menübestellung nicht statt. 

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass Ihre personenbezogenen Daten unrechtmäßig verarbeitet werden.

Zuständige Aufsichtsbehörde ist insbesondere:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Kavalleriestraße 2-4

40213 Düsseldorf

Telefon: 02 11/384 24-0

E-Mail: poststelle@ldi.nrw.de