Datenexport für betroffene Personen

Ein Kunde kann wissen wollen, was Sie über ihn gespeichert haben, oder seine Daten in einer wiederverwendbaren Form verlangen. Der Datenexport für betroffene Personen beantwortet beides: Er sammelt alles, was go flow über einen Kunden speichert, in einer einzigen Zip-Datei, die Sie aus dem Kundendialog herunterladen.

Das Datenschutzrecht gewährt einer Person zwei verwandte Rechte, und der Export hält sie auseinander. Das Auskunftsrecht berechtigt sie zu sehen, was Sie gespeichert haben und wer es angesehen hat. Die Datenübertragbarkeit berechtigt sie zu den Daten, die sie bereitgestellt hat, in einer strukturierten, wiederverwendbaren Form. Jeder Teil des Exports ist mit dem Recht gekennzeichnet, dem er dient.

Die lesbare Kopie nennt das Gesetz hinter jedem Recht nach dem Land der Organisation des Kunden (festgelegt in den Organisationseinstellungen):

Land der Organisation	Auskunftsrecht	Datenübertragbarkeit
Ein Mitgliedstaat der EU oder des EWR (Island, Liechtenstein, Norwegen)	GDPR Art. 15 (DSGVO)	GDPR Art. 20 (DSGVO)
Schweiz	Swiss FADP Art. 25 (DSG)	Swiss FADP Art. 28 (DSG)
Jedes andere Land	Kein Gesetz genannt	Kein Gesetz genannt

Der Inhalt des Exports ist in jedem Land derselbe; nur die Angabe des Gesetzes ändert sich.

Verlangt ein Kunde stattdessen, dass Sie ihn vergessen, ist das eine eigene Funktion, Kundendaten löschen, und sie lässt sich nicht rückgängig machen: Will der Kunde zusätzlich eine Kopie seiner Daten, exportieren Sie sie zuerst.

Wer exportieren darf

Sie benötigen das Recht Kunden für die Organisation des Kunden, auf Ansicht oder Verwalten. Das Recht Audit-Protokoll ist nicht erforderlich. Ein Export umfasst jeweils einen Kunden und nur Kunden des Mandanten, in dem Sie gerade arbeiten. Ohne das Recht wird der Export abgelehnt, und Sie lesen die unten beschriebene Fehlermeldung.

Einen Kunden exportieren

1. Öffnen Sie den Kunden: Wählen Sie auf der Seite Kunden das Augensymbol am Ende der Zeile des Kunden, oder doppelklicken Sie auf die Zeile. Der Kundendialog funktioniert gleich, wo immer Sie ihn öffnen, zum Beispiel von den Teilnehmern einer Session aus.
2. Wählen Sie in der Symbolleiste des Kundendialogs Weitere Aktionen (die drei Punkte) und dann Kundendaten exportieren. Bei einem neuen Kunden, der noch nicht gespeichert ist, fehlt die Schaltfläche Weitere Aktionen.
3. Warten Sie, während die Datei erstellt wird. Die Schaltfläche Weitere Aktionen zeigt den Fortschritt, und währenddessen lässt sich kein zweiter Export starten.
4. Ihr Browser lädt eine Zip-Datei herunter, die Client export heisst, mit Datum und Uhrzeit und den ersten Zeichen der Kennung des Kunden, zum Beispiel Client export 20261009 1430 3f2a9c1b.zip.

Der Export benötigt eine Verbindung: Offline ist Kundendaten exportieren deaktiviert. Er unternimmt pro Klick einen Versuch und gibt nach zwei Minuten auf. Schlägt er fehl, lesen Sie „Der Export konnte nicht erstellt werden. Bitte versuchen Sie es erneut.“ und können es einfach erneut wählen.

Was die Zip-Datei enthält

Zwei Dateien:

• package.json — der gesamte Export in strukturierter, maschinenlesbarer Form, die ein anderes System lesen kann. Sie nennt die Formatversion, den Kunden, die Organisation und den Zeitpunkt des Exports und listet dann die folgenden Teile auf, jeder als access (Auskunft) oder portability (Übertragbarkeit) gekennzeichnet.
• readable.html — dieselben Teile als einfache Tabellen mit dem Titel Personal data export, zum Öffnen in jedem Browser und zum Lesen oder Ausdrucken. Sie nennt die Organisation, die Kennung des Kunden, den Zeitpunkt des Exports (in UTC) und die Formatversion und unter jedem Teil das Recht, dem er dient, mit dem oben beschriebenen Gesetz. Sie ist auf Englisch verfasst, in welcher Sprache Sie auch arbeiten.

Die Teile

Teil	Recht, dem er dient	Was er enthält
client	Auskunft	E-Mail, Status, wann erstellt und zuletzt geändert, und der Name der Organisation.
fields	Auskunft	Die Antworten des Kunden auf jedes Feld, das nicht als übertragbar markiert ist, auch Antworten, deren Feld inzwischen entfernt wurde.
fields.portable	Übertragbarkeit	Die Antworten des Kunden auf die Felder, die als Im Export zur Datenübertragbarkeit enthalten markiert sind.
participations	Auskunft	Die Buchungen des Kunden: Session, Beginn und Ende, Behandlung, Status, Plätze, Sprache, wann gebucht oder storniert, und die bei der Buchung gegebenen Antworten.
holds	Auskunft	Für den Kunden gehaltene Plätze, die noch nicht bestätigt sind, und wann jede Reservierung endet.
orders	Auskunft	Bestellungen mit Referenz, Status, Summen, Rabatt, MwSt., angerechnetem Guthaben, Zahlungsart und Zahlungsdatum sowie jeder Bestellposition.
wallet	Auskunft	Guthabenbuchungen: Gutschriften, Belastungen, Ablauf und die zugehörige Bestellung.
vouchers	Auskunft	Gutscheine mit Name, Code, ursprünglichem und verbleibendem Wert, Gültigkeit und Status.
feedback	Auskunft	Feedback-Einreichungen mit jeder Frage, Antwort und Bewertung.
journals	Auskunft	Einwilligungs- und Prozessnachweise, die der Kunde unterzeichnet hat.
messages	Auskunft	Die an den Kunden gesendeten E-Mails und SMS, mit Betreff und Text. Die neuesten 5000.
staffNotes	Auskunft	Die Notizen Ihrer Mitarbeitenden zum Kunden und zu seinen Buchungen, Bestellungen, Zahlungen, Wallet-Einträgen und Gutscheinen, jeweils mit Datum und Text, aber ohne Verfasser, sowie die Tags dieser Datensätze. Die lesbare Kopie überschreibt sie mit Staff notes.
access	Auskunft	Wer den Datensatz des Kunden angesehen hat: die neuesten 20 000 Einträge der Kategorie Zugriff zu diesem Kunden, mit Datum, Zweck, Art und Quelle, aber ohne Namen, Adresse oder Gerät der Person, die zugegriffen hat.

Auskunft und Übertragbarkeit

Ob eine Antwort zum Auskunftsteil oder zum Übertragbarkeitsteil gehört, hängt vom Feld ab. In den Datenschutzeinstellungen des Feldes legt Im Export zur Datenübertragbarkeit enthalten die Antworten dieses Feldes in fields.portable; lassen Sie es ausgeschaltet, bleiben sie in fields. Standardmässig folgt das Kontrollkästchen der Einstellung Selbstverwaltet: Was der Kunde über sich selbst eingegeben hat, gilt als von ihm bereitgestellt, was Ihre Mitarbeitenden erfasst haben, nicht. Passen Sie es pro Feld an, siehe Protokolleinstellungen und Profil Gesundheitswesen. Die Einstellung wird gelesen, wenn ein Export erstellt wird; eine Änderung gilt also für jeden späteren Export, auch für Antworten, die vor der Änderung gegeben wurden.

Wer zugegriffen hat: was der Zugriffsteil enthalten kann

Der Teil access listet nur auf, was aufgezeichnet wurde. Das Öffnen des Kunden ist nur für die Zeit enthalten, in der die Organisation Lesezugriffe protokolliert hat, und das Anzeigen geschützter Felder nur, solange diese Felder protokolliert wurden (siehe Lesezugriffe); frühere Exporte des Kunden sind enthalten, ob Lesezugriffe protokolliert wurden oder nicht. Die Übermittlungszahlen der Synchronisierung nennen keinen Kunden und gehören nicht dazu. Einträge, die älter sind als die Aufbewahrung des Protokolls (Monate) der Organisation, hat die tägliche Bereinigung bereits entfernt; sie sind nicht enthalten.

Notizen von Mitarbeitenden und was weggelassen wird

Notizen und Tags, die Ihre Mitarbeitenden zum Kunden erfasst haben, sind Personendaten des Kunden und gehören deshalb zum Export. Lesen Sie die Notizen, bevor Sie die Datei übergeben, und entfernen Sie, was sie über andere Personen sagen, etwa über einen anderen Kunden oder ein Familienmitglied; die ZIP-Datei können Sie bis zum Versand bearbeiten.

PINs, Anspruchscodes, Belegdateien und Daten von Zahlungsanbietern gehören nicht zum Export. Jeder Teil ist auf diesen einen Kunden und seine Organisation gefiltert.

Profil Gesundheitswesen

Im Profil Gesundheitswesen enthält der Export eine weitere Angabe: ein standardisiertes FHIR-Bundle, das Format, in dem Gesundheitssysteme Daten austauschen, in package.json und als Abschnitt Health data (FHIR) am Ende von readable.html. Es enthält einen Patient für den Kunden und dann eine Ressource für jedes beantwortete Feld mit der Datenkategorie Gesundheit, bei dem zusätzlich eine FHIR-Ressource gesetzt ist. Ein Feld, das auf Condition oder AllergyIntolerance gesetzt ist, trägt die Antwort als Text; jeder andere Wert, zum Beispiel Observation, wird zu einer Beobachtung. Antworten von Dropdown- und ähnlichen Feldern tragen die gespeicherten Optionskennungen.

Grenzen

• 20 MB. Ein Export über 20 MB wird nicht erstellt: Sie lesen „Der Export ist zu gross für den Download (mehr als 20 MB).“, nichts wird heruntergeladen und nichts aufgezeichnet. In dieser Version lässt er sich nicht aufteilen.
• 5000 Nachrichten und 20 000 Zugriffseinträge. Ein Paket enthält jeweils die neuesten.
• Einer nach dem anderen, mit einer Verbindung.

Was aufgezeichnet wird

Jeder Export, der erstellt und zurückgegeben wird, wird im Audit-Protokoll als Kundendaten exportiert (client.export) aufgezeichnet, in der Kategorie Zugriff, mit dem Kunden und den Teilen, die die Datei enthält. Er wird aufgezeichnet, auch wenn die Protokollierung von Lesezugriffen ausgeschaltet ist, und zwar bevor die Datei den Server verlässt. Ein abgelehnter Export, zum Beispiel einer über 20 MB, wird nicht aufgezeichnet. Der Export erscheint daher im Teil access eines späteren Exports desselben Kunden.