Datenschutzerklärung zur MES.PflegeDatenbank

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Betrieb der MES.PflegeDatenbank ist:

Stefan Mayer IT
Salmgasse 2a/2
1030 Wien
Österreich

2. Worum es bei diesem Dienst geht

Die MES.PflegeDatenbank ist eine webbasierte Anwendung zur Organisation von Betreuung, Unterstützung, Kommunikation und Dokumentation im familiären oder privaten Pflegeumfeld. Die Anwendung richtet sich nicht primär an professionelles Pflegepersonal, sondern an Angehörige, Freunde, Nachbarn und andere unterstützende Personen, die gemeinsam Aufgaben rund um eine pflegebedürftige Person abstimmen.

Dabei können je nach gebuchten Modulen insbesondere Kalenderdaten, Aufgaben, Kontakte, Einkaufslisten, Protokolle, Dokumente, Ausgaben, Rollen, Stammdaten sowie persönliche Hinweise verarbeitet werden.

3. Rollen im Datenschutz

Soweit Kundinnen und Kunden die Anwendung für eigene organisatorische Zwecke nutzen und Inhalte, Personen, Rollen sowie Zugriffe innerhalb eines Mandanten verwalten, sind sie im Regelfall datenschutzrechtlich Verantwortliche für die inhaltliche Verarbeitung innerhalb ihres Mandanten.

Stefan Mayer IT betreibt die technische Plattform. Soweit personenbezogene Daten im Auftrag eines Kunden verarbeitet werden, erfolgt dies im Rahmen eines Auftragsverarbeitungsverhältnisses nach Art. 28 DSGVO.

4. Welche Daten verarbeitet werden können

Je nach Nutzung und gewählten Modulen können insbesondere folgende Daten verarbeitet werden:

• Stammdaten von Auftraggebern, Mandantenadministratoren und eingeladenen Nutzerinnen und Nutzern
• Kontakt- und Beziehungsdaten zwischen unterstützenden Personen und betreuten Personen
• Kalender-, Termin-, Aufgaben- und Zuständigkeitsdaten
• Einkaufslisten, Besorgungen, Haushalts- und Alltagsinformationen
• Protokolle und Beobachtungen aus dem Unterstützungs- oder Pflegealltag
• Dokumente und Unterlagen, etwa Befunde, Bescheide oder sonstige Nachweise
• Kosten-, Zahlungs- und Abrechnungsinformationen
• Technische Protokolldaten, Session-Daten und sicherheitsrelevante Logdaten

Soweit Gesundheitsdaten oder andere besonders schützenswerte Daten verarbeitet werden, erfolgt dies ausschließlich innerhalb der dafür vorgesehenen, rollenbasiert eingeschränkten Bereiche.

5. Zwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Bereitstellung, Administration und Absicherung der Anwendung
• Vertragsanbahnung, Vertragserfüllung und Abrechnung
• Mandantenverwaltung, Nutzerverwaltung und Rechtevergabe
• Dokumentation, Zusammenarbeit und Organisation im Unterstützungsumfeld
• Fehleranalyse, Missbrauchsvermeidung und Systemsicherheit
• Erfüllung gesetzlicher Pflichten, insbesondere steuer- und unternehmensrechtlicher Pflichten

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an einem sicheren und funktionsfähigen Betrieb) sowie – sofern erforderlich – Einwilligungen nach Art. 6 Abs. 1 lit. a DSGVO.

Für besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, kommen zusätzlich die jeweils einschlägigen Voraussetzungen des Art. 9 DSGVO zur Anwendung.

6. Keine Selbstregistrierung

Eine selbständige Registrierung durch beliebige Dritte ist nicht vorgesehen. Zugänge zu einem Mandanten können nicht frei über eine öffentliche Registrierungsfunktion angelegt werden.

Die Anlage weiterer Benutzerkonten erfolgt ausschließlich durch den jeweiligen Mandantenadministrator bzw. Auftraggeber oder auf dessen ausdrückliche Veranlassung. Damit bleibt die Kontrolle über den Nutzerkreis beim Auftraggeber.

7. Rollen- und Berechtigungskonzept

Innerhalb eines Mandanten werden Inhalte nur nach Maßgabe der jeweils vergebenen Rolle angezeigt. Je nach Nähe zur betreuten Person und nach funktionalem Bedarf können unterschiedliche Zugriffsrechte gelten.

Es werden keine Daten automatisch an andere angemeldete Nutzerinnen oder Nutzer außerhalb der vom Mandantenadministrator eingerichteten Berechtigungen weitergegeben. Andere Mandanten sind technisch und logisch getrennt.

8. Technische und organisatorische Maßnahmen

Personenbezogene Daten werden nach dem Stand der verfügbaren technischen und organisatorischen Möglichkeiten geschützt. Dazu gehören insbesondere Maßnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme im Sinn des Art. 32 DSGVO.

• verschlüsselte Übertragung zwischen Endgerät und Dienst
• rollenbasierte Zugriffsbeschränkungen innerhalb des Mandanten
• gesonderte Absicherung sensibler Datenbereiche
• Protokollierung sicherheitsrelevanter Vorgänge
• laufende Wartung, Härtung und Aktualisierung der Systemumgebung

Besonders sensible Inhalte werden verschlüsselt gespeichert. Die Entschlüsselung erfolgt nur unter Verwendung mandantenbezogener Schlüsselmechanismen. Eine absolute Sicherheit kann trotz aller Maßnahmen jedoch nicht garantiert werden.

Angaben zu den konkret eingesetzten Maßnahmen können aus Sicherheitsgründen teilweise nur gegenüber Kunden, Auftragsverarbeitern oder befugten Stellen offengelegt werden.

9. Zugriff durch den Dienstleister

Im laufenden Regelbetrieb erfolgt kein inhaltlicher Zugriff auf Mandantendaten zu eigenen Zwecken. Daten werden insbesondere nicht ausgewertet, verkauft oder an andere Mandanten weitergegeben.

Ein technischer Zugriff kann nur dann erforderlich werden, wenn dies zur Fehlerbehebung, zur Sicherstellung des Betriebs, zur Erfüllung gesetzlicher Pflichten oder aufgrund einer ausdrücklichen Beauftragung durch den Auftraggeber notwendig ist. Soweit möglich, wird ein solcher Zugriff auf das technisch erforderliche Mindestmaß beschränkt.

10. Auftragsverarbeiter und Hosting

Für Hosting, Infrastruktur, Zustellung technischer E-Mails, Datensicherung oder sonstige unterstützende Leistungen können externe Auftragsverarbeiter eingesetzt werden. Diese werden sorgfältig ausgewählt und vertraglich gemäß Art. 28 DSGVO verpflichtet.

11. Backup, Export und Datenhoheit

Die inhaltlichen Daten verbleiben in der Verfügungsgewalt des Auftraggebers. Sie gehören nicht dem Dienstleister, sondern dem jeweiligen Auftraggeber bzw. Mandanten.

Daten können im Rahmen der vorhandenen Exportfunktionen vollständig oder in wesentlichen Teilen heruntergeladen werden. Damit ist ein Datenzugriff durch den Auftraggeber auch außerhalb der laufenden Nutzung möglich.

Soweit keine gesonderte Backup-Leistung vereinbart wurde, bleibt der Auftraggeber für zusätzliche, eigene Sicherungen seiner exportierten Daten selbst verantwortlich. Optionale Backup- oder Archivierungsleistungen können gesondert vereinbart werden.

12. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist, gesetzliche Aufbewahrungspflichten bestehen oder berechtigte Interessen an einer befristeten Speicherung vorliegen.

Nach Vertragsende oder auf Anweisung des Auftraggebers werden Daten im Rahmen der vertraglichen und gesetzlichen Vorgaben gelöscht, anonymisiert oder zur Übergabe exportiert, sofern keine Aufbewahrungspflichten entgegenstehen.

13. Cookies, Sessions und Websitefunktionen

Auf der Website und in der Anwendung können technisch notwendige Cookies oder vergleichbare Speichertechnologien verwendet werden, insbesondere für Spracheinstellungen, Sicherheit, Formularschutz, Login-Sessions und die stabile Bereitstellung des Dienstes.

Soweit nicht unbedingt erforderliche Cookies, Reichweitenmessung oder vergleichbare Analyse- und Komfortfunktionen eingesetzt werden, erfolgt dies erst nach entsprechender Information und – soweit rechtlich erforderlich – nach aktiver Einwilligung.

Die Deaktivierung technisch erforderlicher Cookies kann die Funktionsfähigkeit der Website oder der Anwendung einschränken.

14. Server-Logdaten

Beim Aufruf der Website oder Anwendung können technisch erforderliche Protokolldaten verarbeitet werden, etwa IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene URL, Browserinformationen, Betriebssystem, Referrer sowie Fehler- und Sicherheitsereignisse.

Diese Verarbeitung erfolgt zur Aufrechterhaltung des Betriebs, zur Störungsanalyse, zur Missbrauchsabwehr und zur Systemsicherheit.

15. Kontaktaufnahme und Anfragen

Wenn Sie über Formulare, E-Mail oder telefonisch Kontakt aufnehmen, werden die von Ihnen übermittelten Daten zur Bearbeitung Ihrer Anfrage, zur Vertragsanbahnung und für allfällige Anschlussfragen verarbeitet.

Ohne diese Daten ist eine Bearbeitung Ihrer Anfrage unter Umständen nicht möglich.

16. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere das Recht auf:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Anfragen zu Betroffenenrechten können an den Verantwortlichen gerichtet werden. Zusätzlich besteht ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde.

17. Beschwerderecht

In Österreich ist dies insbesondere die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien. Maßgeblich ist jeweils die sachlich und örtlich zuständige Aufsichtsbehörde.