Datenschutzerklärung

1. Geltungsbereich und Übersicht

Diese Datenschutzerklärung erläutert, wie im Rahmen des Projekts Kymu Personendaten erhoben, bearbeitet und geschützt werden. Sie gilt sowohl für unsere öffentliche Website (https://kymu.ch) samt Unterseiten und Kontaktkanälen als auch für die Kymu-Plattform für digitale muskuloskelettale Rehabilitation – einschliesslich der mobilen Bewegungserfassungs-App (Kymu Companion), der interaktiven Trainingsumgebung (Kymu Play), des Therapeutenportals (Kymu Collab) sowie unserer zentralen Backend- und API-Dienste. Kymu ist ein Forschungs- und Entwicklungsprojekt am Digital Health Design Living Lab der Zürcher Hochschule der Künste (ZHdK).

2. Verantwortliche Stelle und Kontakt

Verantwortlich für die Datenbearbeitung im Rahmen dieser Website und des Projekts Kymu ist:

3. Rechtsgrundlagen und Grundsätze

Wir bearbeiten Personendaten in Übereinstimmung mit dem anwendbaren Schweizer Datenschutzrecht (einschliesslich des eidgenössischen Datenschutzgesetzes [DSG] sowie des kantonalen Gesetzes über die Information und den Datenschutz [IDG], soweit auf die Zürcher Hochschule der Künste anwendbar) und, wo anwendbar, der europäischen Datenschutz-Grundverordnung (DSGVO). Dabei beachten wir konsequent die Grundsätze der Rechtmässigkeit, Datenminimierung, Transparenz, Zweckbindung sowie «Privacy by Design». Die Bearbeitung stützt sich je nach Interaktion auf folgende Grundlagen:

• Freiwillige Einwilligung: Sofern Sie uns eine ausdrückliche Einwilligung erteilt haben, etwa bei der Teilnahme an Usability-Studien, Forschungsprojekten oder freiwilligen Anfragen.
• Bereitstellung der Dienste & Therapiefunktionen: Soweit die Bearbeitung erforderlich ist, um Benutzerkonten zu verwalten, Trainingspläne bereitzustellen oder Rehabilitationsübungen durchzuführen.
• Berechtigte betriebliche Interessen: Zur Gewährleistung der IT- und Netzwerksicherheit, zur Aufrechterhaltung der Systemstabilität, zur Abwehr von Missbrauch sowie zur anonymisierten statistischen Nutzungsanalyse.
• Besonderer Schutz von Gesundheits- und Bewegungsdaten: Therapeutische Bewegungs- und Verlaufsdaten werden mit erhöhten technischen Schutzmassnahmen ausschliesslich auf Basis ausdrücklicher Einwilligung, im Rahmen qualifizierter physiotherapeutischer Betreuung oder innerhalb bewilligter Forschungsvorhaben bearbeitet.

4. Bereitstellung der Website und Server-Protokolle

Beim Aufruf unserer Website erfasst unsere Hosting- und Serverinfrastruktur automatisch technische Verbindungsdaten, die Ihr Browser übermittelt. Hierzu zählen Ihre IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Ressource oder URL, der HTTP-Statuscode, die übertragene Datenmenge, die Referrer-URL sowie Informationen zu Browsertyp und Betriebssystem.

Diese Bearbeitung ist technisch erforderlich, um die Website zuverlässig auszuliefern, die Systemstabilität zu gewährleisten sowie Sicherheitsvorfälle und Angriffe (z. B. DDoS-Attacken) zu erkennen und abzuwehren. Server-Protokolldateien werden nur für ein begrenztes technisches Zeitfenster aufbewahrt und anschliessend automatisch gelöscht, sofern keine gesetzlichen Aufbewahrungs- oder Beweiszwecke entgegenstehen.

5. Datenschutzfreundliche Webanalyse

Um die allgemeine Nutzung unserer Website zu verstehen und das Informationsangebot zu optimieren, betreiben wir einen selbst gehosteten, datenschutzfreundlichen Analysedienst auf eigener Infrastruktur. Unser Analysedienst ist nach strengen Datenschutzstandards gestaltet:

• Keine Analyse-Cookies: Das Analyseskript setzt keine Tracking-Cookies auf Ihrem Endgerät und verwendet keine persistenten Kennungen oder Browser-Fingerprinting.
• Keine Profilbildung & keine Weitergabe an Dritte: Wir verfolgen Besucher nicht über externe Websites hinweg, erstellen keine individuellen Nutzerprofile und übermitteln oder verkaufen Besucherdaten zu keinem Zeitpunkt an Werbenetzwerke oder externe Datenhändler.
• Pseudonymisierung und Aggregation: IP-Adressen und Anfrage-Header werden ausschliesslich flüchtig im Arbeitsspeicher verarbeitet, um eine grobe geografische Herkunft auf Länderebene zu ermitteln und tagesbezogene, nicht rückführbare Gesamtstatistiken zu berechnen (besuchte Seiten, Referrer-Quellen sowie Zählungen von Klicks auf Studienbuchungslinks oder PDF-Downloads). URL-Suchparameter und Hash-Werte werden vor der Zählung entfernt.
• «Do Not Track» & Inhaltsblocker: Unser Analyseskript respektiert standardmässig Browsereinstellungen wie «Do Not Track» (DNT) und Global Privacy Control. Zudem können Sie Analyseanfragen jederzeit über handelsübliche Werbe- und Tracking-Blocker unterbinden.

6. Cookies und lokale Einstellungen

Unsere Website setzt keine Marketing-, Werbe- oder Tracking-Cookies ein. Wir verwenden ausschliesslich ein technisch notwendiges funktionales Element: Ein First-Party-Cookie bzw. einen lokalen Speicherwert (kymu_locale), um Ihre ausgewählte Sprachpräferenz (Deutsch oder Englisch) zwischen Seitenaufrufen zu speichern. Sie können Cookies in den Einstellungen Ihres Browsers jederzeit einsehen, einschränken oder löschen.

7. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren, bearbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht ausschliesslich zur Bearbeitung und Beantwortung Ihrer Anfrage. Die Korrespondenz wird so lange gespeichert, wie dies für die Erledigung Ihres Anliegens oder aufgrund gesetzlicher Aufbewahrungspflichten erforderlich ist. Bitte übermitteln Sie sensible Gesundheitsangaben nicht über gewöhnliche, unverschlüsselte E-Mails.

8. Die Kymu-Therapieplattform und das Ökosystem

Das Software-Ökosystem von Kymu verbindet Patientinnen und Patienten, Betreuungspersonen sowie physiotherapeutische Fachpersonen für spielerische muskuloskelettale Rehabilitation. Es umfasst Kymu Companion (mobile Bewegungserfassung), Kymu Play (Rehabilitations-Spielclient), Kymu Collab (Therapeutenportal) und das Kymu Backend. Bei der Nutzung dieser Anwendungen gelten besondere Schutzmassnahmen:

9. Datensicherheit und technische Schutzmassnahmen

Wir treffen angemessene technische und organisatorische Schutzmassnahmen (TOM) im Einklang mit den schweizerischen und europäischen Datenschutzvorgaben, um Personendaten vor unberechtigtem Zugriff, Verlust oder Missbrauch zu schützen:

• Transport- und Kanalverschlüsselung: Sämtliche Verbindungen zwischen Client-Apps, Webportalen und Backend-Schnittstellen werden über moderne TLS 1.3-Verschlüsselung geschützt. Die lokale Gerätekopplung nutzt verschlüsselte WebSockets mit hinterlegten Sicherheitszertifikaten.
• Zugriffskontrolle & Mandantenisolation: Der Zugriff auf Patientendaten ist streng rollenbasiert geregelt und auf Datenbankebene mandantengestützt isoliert. Passwörter werden nach dem aktuellen Stand der Technik einweggehasht.
• Datensicherung & Wiederherstellung: Datenbanken werden durch automatisierte, verschlüsselte tägliche Backups mit 30 Tagen Aufbewahrungsfrist, kontinuierliche Transaktionsprotokollierung (Point-in-Time Recovery) und regelmässige Wiederherstellungstests geschützt.

10. Speicherdauer und Löschung

Wir speichern Personendaten nur so lange, wie dies zur Erfüllung des therapeutischen Zwecks, der aktiven Kontoführung oder aufgrund gesetzlicher Dokumentations- und Aufbewahrungspflichten im Gesundheitswesen und Hochschulbereich erforderlich ist. Nach Ablauf der Zwecke oder bei berechtigtem Löschungsbegehren werden die Daten unwiderruflich gelöscht oder anonymisiert, sofern keine gesetzlichen Pflichten entgegenstehen.

11. Externe Dienste und Links Dritter

Unsere Website enthält Links zu externen Diensten, darunter Google Calendar (zur Terminbuchung für Usability-Studien) sowie Netzwerkprofile wie LinkedIn. Bei Klick auf diese Links verlassen Sie unsere Website; die Datenbearbeitung auf externen Seiten erfolgt in alleiniger Verantwortung der jeweiligen Anbieter gemäss deren Datenschutzbestimmungen. Wir binden keine externen Tracking-Frames oder Social-Media-Plugins auf unserer Website ein.

12. Ihre Rechte als betroffene Person

Nach dem anwendbaren Datenschutzrecht stehen Ihnen bezüglich Ihrer Personendaten folgende gesetzliche Rechte zu:

• Recht auf Auskunft: Sie können Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten.
• Recht auf Berichtigung: Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Personendaten verlangen.
• Recht auf Löschung: Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten oder überwiegenden berechtigten Interessen entgegenstehen.
• Recht auf Einschränkung der Bearbeitung: Sie können unter den gesetzlichen Voraussetzungen verlangen, dass die Bearbeitung Ihrer Daten eingeschränkt wird.
• Recht auf Datenherausgabe und -übertragung: Sie haben das Recht, Personendaten, die Sie uns bereitgestellt haben, in einem gängigen, maschinenlesbaren Format zu erhalten.
• Recht auf Widerruf der Einwilligung: Eine erteilte Einwilligung zur Datenbearbeitung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte können Sie uns jederzeit per E-Mail unter der in Ziffer 2 genannten Kontaktadresse kontaktieren. Im Zweifelsfall behalten wir uns vor, einen Identitätsnachweis zu verlangen, um Auskünfte an unberechtigte Dritte auszuschliessen.

Zudem steht Ihnen das Recht zu, bei einer zuständigen Datenschutzaufsichtsbehörde Beschwerde einzureichen. In der Schweiz sind dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) sowie für kantonale Hochschulangelegenheiten die Datenschutzbeauftragte des Kantons Zürich. In der EU können Sie sich an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsortes wenden.