Einführung
Die Datenschutz-Grundverordnung (DSGVO) trat am 25. Mai 2018 in Kraft und stellte eine wesentliche Aktualisierung des Rechts dar, das die Erhebung und Nutzung personenbezogener Daten regelt. Sie erweitert dabei die Rechte und die Kontrolle von natürlichen Personen über die Verarbeitung ihrer personenbezogenen Daten, während Organisationen, die personenbezogene Daten verarbeiten, strengere Verpflichtungen auferlegt werden.

Diese Erklärung erklärt unser starkes Engagement für die Einhaltung der DSGVO und zeigt den Kontext für die Verarbeitung personenbezogener Daten durch iRhythm auf.

Unser Engagement
iRhythm nimmt den Schutz und die Sicherheit von Daten ernst. Wir haben unser robustes Compliance-Programm optimiert, das wir kontinuierlich überprüfen, um unser Vorgehen noch besser auf die besonderen Elemente der DSGVO auszurichten. Unser funktionsübergreifendes Projektteam, dem externe Experten für Sicherheit und Datenschutz angehören, setzt dazu in seiner Arbeit den Schwerpunkt auf der Sicherstellung von Compliance und Transparenz bei unseren Kunden und Patienten.

Einhaltung der DSGVO
Im Rahmen unserer DSGVO-Vorbereitung haben wir eine detaillierte Analyse aller Geschäftsprozesse durchgeführt, in deren Rahmen personenbezogene Daten erhoben und verwendet werden. Wir haben unsere Datenflüsse abgebildet und eine Gap-Analyse durchgeführt, anhand derer wir unser Compliance-Programm strukturiert haben. Zu den wichtigsten Maßnahmen, die wir im Rahmen dieses Programms ergriffen haben, gehören:

• Transparenz: Überprüfung und Aktualisierung unserer Datenschutzerklärungen für Ärzte, Patienten, Nutzer unserer Website sowie unseres ZioReports-Portals sowie Kommunikation von Informationen über unsere rechtmäßige Verarbeitung zur Erfüllung unserer DSGVO-Benachrichtigungspflichten.
• Aufzeichnung der Verarbeitung: Dokumentation unserer Aufzeichnungen über die Verarbeitung personenbezogener Daten sowie Festlegung und Aufzeichnung der angemessenen Rechtsgrundlagen für jeden Verarbeitungszweck. Es handelt sich um ein fortlaufendes Aufzeichnungsverfahren, das wir fortwährend überprüfen.
• Rechte der betroffenen Personen: Aktualisierung verbesserter Rechtehinweise für natürliche Personen und Implementierung neuer und geänderter Richtlinien und Prozesse, um die Ausübung der Rechte der betroffenen Personen zu antizipieren, zu organisieren und darauf zu reagieren.
• Sicherheit: Patienten- und personenbezogene Daten werden während der Übertragung und im Ruhezustand verschlüsselt. Die Verschlüsselungsrichtlinie von iRhythm erfüllt oder übertrifft alle allgemein anerkannten kommerziellen und staatlichen Standards.
• Reaktion auf Vorfälle: Überprüfung und Verbesserung unserer bestehenden Verfahren zur Reaktion auf Vorfälle, um diese zu identifizieren, zu untersuchen und einzudämmen sowie alle dazu erforderlichen Meldungen innerhalb der durch die DSGVO vorgegeben Fristen vorzunehmen.
• Datenschutz-Folgenabschätzungen (DSFA): iRhythm hat ein DSFA-Verfahren implementiert und wird DSFAs dann durchführen, wenn unsere Verarbeitung personenbezogener Daten wahrscheinlich mit einem hohen Risiko verbunden ist. Wir haben Prozesse implementiert, um jede Folgenabschätzung zu dokumentieren und um gegebenenfalls die Maßnahmen zur Reduzierung des Risikoniveaus zu dokumentieren und zu durchzuführen.
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen: Entwicklung von Leitlinien für die Verwendung durch Produkt- und Systementwickler, mit denen iRhythm danach strebt, Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen in neue Systeme und Prozesse zu integrieren.
• Richtlinien und Verfahren: Überprüfung, Aktualisierung und Erstellung neuer Richtlinien und Verfahren zur Erfüllung unserer erweiterten DSGVO-Pflichten.
• Verträge: Anfordern von Informationen über die DSGVO-Bereitschaft unserer Dienstleister und Durchführung laufender Überprüfungen sowie Aktualisierung von Vereinbarungen mit Kunden und Unterauftragnehmern, die für die Verarbeitung personenbezogener Daten relevant sind, gemäß den DSGVO-Vorgaben.
• Aufbewahrung von Daten: Aufbewahrung personenbezogener Daten für die Dauer Ihrer Nutzung des Zio-Service und soweit dies zur Erfüllung unserer vertraglichen Verpflichtungen, zur Erkennung von Problemen oder im Rahmen anhängiger Rechts- (bzw. regulatorischer) Verfahren erforderlich ist. Wir können zudem aggregierte Informationen über diesen Zeitraum hinaus für Forschungszwecke und zur Unterstützung bei der Entwicklung und Verbesserung unserer Leistungen aufbewahren. Patienten können nicht anhand aggregierter Informationen identifiziert werden, die für diese Zwecke aufbewahrt oder verwendet werden.
• Schulung und Sensibilisierung: Aktualisierung von Schulungsmaterialien und Implementierung eines Schulungsprogramms für Mitarbeiter zu den DSGVO-Vorschriften, mit dem eine Sensibilisierung für die Thematik und eine weitere Verbesserung der Compliance-Kultur bei iRhythm erreicht werden soll.
• Datenschutzbeauftragter: Wir haben die Verantwortlichkeiten für die Einhaltung der Datenschutzbestimmungen innerhalb von iRhythm festgelegt. Der diese Funktion ausübende Mitarbeiter wird von einem funktionsübergreifenden Team unterstützt, das die Sensibilisierung für die DSGVO im gesamten Unternehmen fördert.
• Benachrichtigung: Unsere Datenschutzrichtlinien können auf unserer Website unter https://www.zioreports.com/Application.html#PP_UK eingesehen werden.
• Verantwortlicher für die Verarbeitung/Auftragsverarbeiter: Es gilt, dass iRhythm ein Verantwortlicher für die Verarbeitung, nicht jedoch ein Auftragsverarbeiter ist. Als Verantwortlicher versteht iRhythm, dass es im weiteren Umfang den datenschutzrechtlichen Verpflichtungen unterliegt, denen auch seine Kunden unterliegen.
• Rechenschaftspflicht: Einführung in Systeme und Protokolle zur Erfassung und Aufbewahrung von Aufzeichnungen über ergriffene Compliance-Maßnahmen.

iRhythm ist sich bewusst, dass kontinuierliche Aufsicht und die Sensibilisierung der Schlüssel zur kontinuierlichen Einhaltung der DSGVO sind. Daher überprüfen wir kontinuierlich die Verarbeitung personenbezogener Daten, nehmen Korrekturen vor und passen unsere Dokumentation an.

Falls Sie weitere Fragen zu unserer DSGVO-Compliance haben, kontaktieren Sie uns bitte unter UKprivacy@irhythmtech.com.