Ihre persönlichen Daten: zwei Einwilligungen, Export und Löschung
Was das Portal über Sie speichert, wer es sieht, wie Sie alles in einer Datei exportieren und wie Sie es löschen. Über Schaltflächen im Konto, nicht per Brief an das Hotel.
Die Datenschutzrichtlinie des Hotels ist für das Portal nicht ausreichend: Sie enthält keine Gesundheitsdaten, kein Konto und keine tragbaren Geräte. Deshalb hat das Portal eine eigene Richtlinie – zwölf Abschnitte unter `#/privacy`, in allen Sprachen der Benutzeroberfläche.
Der Verantwortliche ist namentlich mit seinen Registrierungsdaten und seiner Adresse genannt; für Fragen zum Datenschutz gibt es ein separates Postfach; und der Server steht in Deutschland, also in der EU.
Die Richtlinie des Portals: zwölf Abschnitte, ohne Anmeldung einsehbar.×
Es gibt zwei Einwilligungen, und das ist keine Formalität
Die erste ist die allgemeine bei der Registrierung. Die zweite ist die ausdrückliche für die Verarbeitung von Gesundheitsdaten und wird vor dem Fragebogen abgefragt.
Die Trennung war notwendig, weil Gesundheitsdaten eine besondere Kategorie sind: Für sie ist die «Zustimmung zu den Bedingungen» bei der Registrierung rechtlich nicht ausreichend.
Beide Einwilligungen werden mit der Versionsnummer der Richtlinie erfasst. Wenn sich die Richtlinie wesentlich ändert – zum Beispiel, als die Waage im Zimmer und die Körperzusammensetzung hinzugefügt wurden –, wird die Versionsnummer erhöht, und das Portal fragt alle erneut um ihre Zustimmung. Das ist das Fenster «Eine Sache, bevor wir fortfahren», das über jedem Bildschirm erscheint.
«Meine Daten»: vier Schaltflächen
Im «Konto» gibt es den Bereich «Meine Daten», und die Rechte aus der Verordnung sind als Schaltflächen umgesetzt, nicht als E-Mail-Adresse.
Export — alles über Sie in einer einzigen Datei.
HL7-FHIR-Export — dasselbe in der Sprache medizinischer Systeme: Patient und Beobachtungen mit LOINC-Codes. Eine solche Datei kann ein Krankenhaussystem lesen, nicht nur ein Mensch.
Widerruf der Einwilligung — zusammen mit der Löschung der Gesundheitsdaten.
Löschung des Kontos — komplett.
«Meine Daten»: Export, Widerruf der Einwilligung, Löschung×
Was gelöscht wird und was bleibt
Es gibt zwei Stufen der Löschung, und der Unterschied ist klar benannt. Gesundheitsdaten – das sind Nächte, Spaziergänge, Verordnungen, Wiegungen, Personalnotizen über Sie und persönlich an Sie gerichtete Arztmitteilungen. Das Konto – all das plus der Zugang selbst.
Es bleiben die Aufzeichnungen, die das Hotel über sich selbst gemacht hat: das Protokoll der Geräteausgabe, das Protokoll der Personalzugriffe auf ein Gästekonto und hausweite Ankündigungen. Dies sind nicht Ihre personenbezogenen Daten, sondern das Gedächtnis des Hotels über seine eigenen Handlungen.
Hinweis: «Alle Aufzeichnungen löschen» an der Rezeption ist nicht dasselbe. Diese Funktion bereinigt das Set und das Garmin-Konto, damit der nächste Gast nicht die Nächte eines anderen sieht. Ihr Konto wird davon nicht berührt (Details).
Wer Ihre Bildschirme noch sieht
Das Personal kann das «Konto des Gastes» öffnen – das sind dieselben Seiten, die Sie auch sehen. Für den Arzt ist dies ein reiner Lesezugriff: Jeder Schreibversuch in einer solchen Sitzung wird vom Server abgelehnt und nicht nur in der Benutzeroberfläche verborgen.
Jeder solcher Zugriff wird protokolliert: wer und wann. Das Protokoll ist eine Aufzeichnung des Hotels über sich selbst, daher übersteht es die Löschung der Gesundheitsdaten und wird zusammen mit dem Konto entfernt.
Bei den Notizen des Personals über einen Gast ist es umgekehrt: Sie werden über Sie geschrieben und zusammen mit den Gesundheitsdaten gelöscht.
Wie das für eine Person funktioniert
Sie reisen ab und möchten alles mitnehmen – wählen Sie «Exportieren», und die Datei ist auf Ihrem Telefon. Sie möchten die Daten Ihrem Arzt zu Hause geben – wählen Sie «HL7 FHIR Export», und sein System kann sie lesen. Sie möchten, dass das Hotel Sie vergisst – wählen Sie «Konto löschen», und Sie müssen niemanden fragen.
Was die Rezeption macht
Die Rezeption löscht oder exportiert die Daten eines Gastes nicht: dafür sind Ihre Schaltflächen da. Sie tut etwas anderes: Sie bereinigt das Set bei der Ausgabe an den nächsten Gast, immer und automatisch (warum).
Google Analytics zeigt uns, welche Seiten gelesen werden – nur mit Ihrer Einwilligung. Ihre Sprache und diese Auswahl bleiben ohnehin in Ihrem Browser.
