Datenschutzerklärung

1. Verantwortlicher

Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) für den Betrieb dieser Software-Anwendung „Alltagsbegleiter“ ist:
IndividuellPlus UG (haftungsbeschränkt)
Am Bahnhof 8, 34632 Jesberg
Deutschland
E-Mail: info@individuellplus.de · Telefon: +49 1520 5784918

Soweit ein Pflege- oder Entlastungsdienst die Software nutzt, um Klienten-, Personal- oder Abrechnungsdaten einzugeben, ist dieser Dienst Verantwortlicher für jene Daten. Die oben genannte Betreiberin handelt insoweit als Auftragsverarbeiterin (Art. 28 DSGVO); es ist ein Vertrag zur Auftragsverarbeitung abzuschließen, bevor Echtdaten eines fremden Trägers verarbeitet werden. Nutzt die Betreiberin die Anwendung für den eigenen Dienst (Eigen-Pilot), ist sie für diese Daten selbst Verantwortliche.

2. Datenschutzbeauftragter

Eine Datenschutzbeauftragte bzw. ein Datenschutzbeauftragter ist derzeit nicht namentlich benannt. Anfragen richten Sie bitte an die unter Abschnitt 1 genannten Kontaktdaten. Ob eine Bestellpflicht nach § 38 BDSG bzw. Art. 37 DSGVO besteht (unter anderem abhängig von der Zahl der mit der Verarbeitung betrauten Personen und von besonderen Kategorien personenbezogener Daten), bleibt gesondert zu prüfen.

3. Welche Daten wir verarbeiten

Im Betrieb der Anwendung fallen – je nach Rolle und Nutzung – insbesondere folgende Kategorien an:

Zugangs- und Sitzungsdaten

Anmeldename bzw. E-Mail-Adresse, Passwort-Hash, Rollen- und Mandantenzuordnung
Sitzungs-Cookie zur Aufrechterhaltung der Anmeldung (siehe Abschnitt 9)
Protokollierte Zugriffe im Rahmen der Absicherung (u. a. fehlgeschlagene Anmeldungen)

Daten, die ein Träger in der Software führt

Stammdaten von Klientinnen und Klienten (Name, Anschrift, Kontaktdaten, Geburtsdatum)
Gesundheitsbezogene Angaben (Art. 9 DSGVO), soweit für Entlastungsleistungen nach § 45a / § 45b SGB XI erforderlich (z. B. Pflegegrad, Betreuungsbedarf)
Abrechnungsdaten (Pflegekasse, Versichertennummer, Leistungs- und Budgetdaten)
Leistungsnachweise einschließlich digitaler Unterschrift
Personal- und Einsatzdaten der Mitarbeitenden, Arbeitszeiten, interne Nachrichten
Standortdaten, soweit für Touren oder Zeiterfassung genutzt (Wohnanschrift zur Geokodierung; GPS nur bei erteilter Geräteberechtigung und HTTPS)

4. Zwecke und Rechtsgrundlagen der Verarbeitung

Bereitstellung und Absicherung der Anwendung (Anmeldung, Sitzung, Mandantentrennung) – Art. 6 Abs. 1 lit. b und f DSGVO.
Erbringung und Dokumentation von Entlastungsleistungen nach § 45a / § 45b SGB XI durch den nutzenden Dienst – Art. 6 Abs. 1 lit. b DSGVO i. V. m. Art. 9 Abs. 2 lit. h DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG; im Auftragsverhältnis zusätzlich Art. 28 DSGVO.
Abrechnung mit Pflegekassen und steuerliche Dokumentation – Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, u. a. SGB XI, Abgabenordnung).
Personalverwaltung und Dienstplanung – Art. 6 Abs. 1 lit. b und f DSGVO.

5. Empfänger und Hosting

Eine Übermittlung erfolgt nur, soweit sie für den jeweiligen Zweck erforderlich ist:

zuständige Pflegekassen im Rahmen der Leistungsabrechnung durch den nutzenden Dienst,
Steuerberatung/Buchhaltung des jeweiligen Verantwortlichen,
Hosting: Der Produktivbetrieb ist auf einem Linux-VPS in Deutschland vorgesehen. Die Betriebsdokumentation nennt als Zielumgebung einen Standort in Deutschland (Hetzner). Ein Auftragsverarbeitungsvertrag mit dem Hoster ist vor der Verarbeitung von Gesundheits- und Sozialdaten abzuschließen.
optional ein vom Betreiber konfigurierter E-Mail-Versanddienst (SMTP) für System- und Vertragshinweise – nur wenn in der Instanz eingerichtet,
keine DATEV-, Lexoffice- oder Automatisierungsanbindung, solange sie in der Instanz nicht ausdrücklich eingeschaltet ist.

Eine Übermittlung in Drittländer außerhalb der EU/des EWR ist für den Kernbetrieb (Anwendung und vorgesehener VPS-Standort) nicht vorgesehen. Sollte ein optionaler Dienst mit Drittlandbezug genutzt werden, wird dies gesondert ausgewiesen.

6. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die genannten Zwecke erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht. Rechnungen und Buchungsbelege unterliegen in der Regel einer Aufbewahrungsfrist von zehn Jahren (§ 147 AO, § 14b UStG). Nach Ablauf der jeweiligen Frist bzw. nach Ende der Betreuung werden Stammdaten anonymisiert; abrechnungsrelevante Belege bleiben bis zum Fristablauf erhalten. Einzelheiten stehen im internen Löschkonzept der Anwendung.

7. Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Voraussetzungen folgende Rechte:

Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung, soweit keine Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für den Sitz in Hessen ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Zur Ausübung dieser Rechte wenden Sie sich an die Kontaktdaten in Abschnitt 1. Betrifft das Begehren Klientendaten eines fremden Trägers, ist der jeweilige Dienst der richtige Adressat; wir leiten Anfragen insoweit an den Verantwortlichen weiter, soweit uns das möglich und zulässig ist. Administratorinnen können eine strukturierte Auskunft intern über die Software erstellen.

8. Datensicherheit

Es gelten technische und organisatorische Maßnahmen gegen Verlust, Missbrauch und unbefugten Zugriff, unter anderem Transportverschlüsselung (TLS im Produktivbetrieb), Passwort-Hashing, rollenbasierte Zugriffsbeschränkung, Mandantentrennung in der Datenbank und Schutz gegen automatisierte Anmeldeversuche.

9. Cookies und Sitzung

Die Anwendung setzt ein technisch notwendiges Sitzungs-Cookie ab_session (httpOnly, SameSite=Lax, im Produktivbetrieb Secure). Es hält die Anmeldung aufrecht, läuft nach acht Stunden ohne Aktivität ab und wird bei Nutzung erneuert (gleitende Sitzung). Es werden keine Tracking- oder Marketing-Cookies eingesetzt. Eine Einwilligung nach § 25 TDDDG ist für dieses unbedingt erforderliche Cookie nicht erforderlich.

10. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die Tourenoptimierung per Solver ist im Pilot abgeschaltet.

11. Änderungen dieser Datenschutzerklärung

Diese Erklärung wird angepasst, sobald sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle Fassung.