Datenschutzerklärung

Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder die Alltagora-Plattform nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie den nachfolgenden Abschnitten.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website? Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten finden Sie im Abschnitt „Verantwortliche Stelle".

Wie erfassen wir Ihre Daten? Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen (z. B. bei Registrierung oder Kontaktaufnahme). Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Website durch unsere IT-Systeme erfasst (technische Daten wie Browser, Betriebssystem, Uhrzeit des Seitenaufrufs).

Wofür nutzen wir Ihre Daten? Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Website zu gewährleisten. Andere Daten dienen der Vertragserfüllung und Abrechnung.

Welche Rechte haben Sie bezüglich Ihrer Daten? Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Details dazu finden Sie im Abschnitt „Ihre Rechte als betroffene Person".

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Alltagora-Plattform:

2. Arten der verarbeiteten Daten

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer)
• Vertragsdaten (Firmendaten, Abrechnungsinformationen)
• Nutzungsdaten (Zugangsdaten, Aktivitätsprotokolle, technische Verbindungsdaten)
• Inhaltsdaten der Kunden (Klienten- und Mitarbeiterdaten der Betreuungsdienste, verarbeitet als Auftragsverarbeiter)

3. Zwecke und Rechtsgrundlagen der Verarbeitung

3.1 Bereitstellung der Plattform (Art. 6 Abs. 1 lit. b DSGVO)

Wir verarbeiten Ihre Daten zur Erfüllung des Vertrags über die Nutzung der Alltagora-Plattform, einschließlich Registrierung, Authentifizierung, Abrechnung und Support.

3.2 Sicherheit und Betrieb (Art. 6 Abs. 1 lit. f DSGVO)

Zugangsprotokolle, IP-Adressen und technische Daten verarbeiten wir auf Basis unseres berechtigten Interesses an einem sicheren und fehlerfreien Betrieb.

3.3 Auftragsverarbeitung (Art. 28 DSGVO)

Die Klienten- und Mitarbeiterdaten Ihrer Betreuungsdienstkunden verarbeiten wir ausschließlich als Auftragsverarbeiter in Ihrem Auftrag. Die Rechtsgrundlage dieser Verarbeitung bestimmen Sie als Verantwortlicher (in der Regel Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. h DSGVO). Das Verhältnis zwischen Ihnen und uns regelt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Ziffer 10).

3.4 Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)

Rechnungen, Mahnungen, Zahlungs- und Abrechnungsbelege bewahren wir acht Jahre auf (§ 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4 und Abs. 3 AO in der seit dem 1. Januar 2025 geltenden Fassung), Bücher, Aufzeichnungen und die Prüfprotokolle dazu zehn Jahre (§ 147 Abs. 1 Nr. 1 AO). Die Frist beginnt mit dem Schluss des Kalenderjahrs, in dem der Beleg entstanden ist (§ 147 Abs. 4 AO).

3.5 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Im Rahmen der Auftragsverarbeitung für ambulante Betreuungs- und Pflegedienste verarbeiten wir auf Weisung des jeweils verantwortlichen Kunden besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten der betreuten Klienten. Die Erlaubnis hierfür stützt sich auf Art. 9 Abs. 2 lit. h DSGVO i.V.m. § 22 Abs. 1 Nr. 1 lit. b BDSG (Gesundheitsvorsorge, Versorgung und Behandlung im Gesundheits- und Sozialbereich) sowie ergänzend auf die ausdrückliche Einwilligung der betroffenen Person gemäß Art. 9 Abs. 2 lit. a DSGVO, soweit diese vom verantwortlichen Kunden eingeholt wird. Als Auftragsverarbeiter handeln wir ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 DSGVO). Es gelten besondere technische und organisatorische Schutzmaßnahmen gemäß § 22 Abs. 2 BDSG.

4. Auftragsverarbeiter und Datenweitergabe

Wir setzen folgende sorgfältig ausgewählte Auftragsverarbeiter ein, die vertraglich zur DSGVO-Konformität verpflichtet sind:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: verschlüsselte Offsite-Datensicherung (Storage Box, Standort Deutschland). Die Sicherungen werden vor der Übertragung bei uns verschlüsselt, Hetzner hat keinen Zugriff auf lesbare Daten.
• 24fire GmbH, Kronenstraße 4, 68723 Schwetzingen: Hosting und Rechenzentrum (Deutschland)
• Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland: Zahlungsabwicklung. Eingebunden ist als Unterauftragnehmer die Stripe, LLC, 354 Oyster Point Blvd, South San Francisco, CA 94080, USA. Den Datentransfer in die USA stützt Stripe nach seinem Zusatz für Datenübertragungen (Data Transfers Addendum) auf genau einen Mechanismus: vorrangig auf das EU-US Data Privacy Framework, unter dem die Stripe, LLC zertifiziert ist (Art. 45 DSGVO). Entfällt die Zertifizierung, gelten stattdessen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Zur eigenverantwortlichen Verarbeitung durch Stripe siehe den nachfolgenden Hinweis.
• Photon-Geocoder (selbst betrieben): Adress-Autovervollständigung auf eigenem Server in Deutschland (Datenbasis: OpenStreetMap; kein Datentransfer an Dritte)
• OSRM-Routing (selbst betrieben): Tour- und Routenberechnung auf eigenem Server in Deutschland (Datenbasis: OpenStreetMap; kein Datentransfer an Dritte)
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Bot-Schutz (Cloudflare Turnstile) auf Anmelde-, Demo-Code-, Passwort-zurücksetzen- und Onboarding-Formularen. Verarbeitete Daten: IP-Adresse, User-Agent, JavaScript-Fingerprint zur Bot-Erkennung. Datentransfer in die USA abgesichert durch EU-US Data Privacy Framework (DPF, Adäquanzbeschluss der EU-Kommission vom 10. Juli 2023). Cloudflare ist DPF-zertifiziert. Rechtsgrundlage für den Bot-Schutz: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Spam-Schutz). Außerdem leitet Cloudflare als KI-Gateway unsere KI-Anfragen an Anthropic (USA) weiter und verarbeitet dabei deren Inhalt. Gesundheitsdaten sind derzeit nicht darunter (siehe Anthropic). Dafür ist Cloudflare unser Unterauftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).
• Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, als Vertragspartner, gemeinsam mit dem verbundenen Unternehmen Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA: KI-gestützte Struktur-Extraktion aus Pflege- und Betreuungsdokumentation und Sprachdiktaten sowie Entwürfe für Klientenstatus-Zusammenfassungen aus bereits erfassten Pflegedaten, die erst nach Freigabe durch eine Fachkraft angezeigt werden. Diese beiden Funktionen sind derzeit abgeschaltet: Aus der Pflege- und Betreuungsdokumentation übermitteln wir keine Daten an Anthropic, also weder Gesundheitsdaten nach Art. 9 DSGVO noch Namen von Klientinnen und Klienten. Bevor wir sie einschalten, ändern wir diese Erklärung. Übermittlung über das Cloudflare-AI-Gateway. Support-Chat und Ticket-Einordnung (Ziffer 12) gehen direkt an Anthropic. Datentransfer in die USA abgesichert durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Inhalte werden nicht zum Training von KI-Modellen verwendet. Rechtsgrundlage: Art. 9 Abs. 2 lit. h i.V.m. § 22 BDSG sowie Art. 28 DSGVO (Verarbeitung auf Weisung).
• Google Ireland Limited / Google LLC (Firebase Cloud Messaging), Gordon House, Barrow Street, Dublin 4, Irland bzw. 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA: Versand von Push-Benachrichtigungen der mobilen App (nur sofern Push aktiviert). Verarbeitete Daten: Geräte-Token, Benachrichtigungs-Metadaten. Datentransfer in die USA abgesichert durch EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG (Einwilligung über die App). Zu Push-Benachrichtigungen im Browser siehe den Absatz Web Push unter dieser Liste.
• ALL-INKL.COM — Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland: Primärer transaktionaler E-Mail-Versand (SMTP), Verarbeitung in Deutschland.
• Hyperping SAS, 50 Avenue des Champs-Élysées, 75008 Paris, Frankreich: Überwachung der Erreichbarkeit. Zur Erkennung eines Totalausfalls unserer Server ruft der Dienst unsere öffentlich erreichbaren Webseiten in kurzen Abständen auf und benachrichtigt uns per E-Mail, wenn sie nicht antworten. Zusätzlich ruft unser Server nach jeder erfolgreich abgeschlossenen Datensicherung eine persönliche Adresse bei Hyperping ohne weiteren Inhalt auf (Heartbeat). Bleibt dieser Aufruf aus, benachrichtigt uns Hyperping. Mit dem Aufruf übermittelt unser Server nur seine IP-Adresse, den Zeitpunkt des Aufrufs und die technischen Angaben jedes Webabrufs, keine Inhalte der Sicherung und keine Daten unserer Nutzer. Dabei verarbeitet Hyperping die E-Mail-Adresse und die Kontodaten unseres Administrators, nicht jedoch Daten unserer Nutzer oder Mandanten. Hyperping verarbeitet diese Daten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO, der nach Angabe von Hyperping Bestandteil seiner Nutzungsbedingungen ist. Die Daten speichert Hyperping nach eigener Angabe in Frankfurt am Main (Deutschland). Die Abrufe selbst kommen von Messstationen in mehreren Regionen weltweit, auch außerhalb der EU, und Hyperping setzt Unterauftragsverarbeiter in den USA ein. Übermittlungen in Drittländer stützt Hyperping nach eigener Angabe auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, Ausfälle der Plattform schnell zu bemerken und zu beheben. Datenschutzangaben: hyperping.com/gdpr.

Push-Benachrichtigungen im Browser (Web Push). Ergänzend zu den Push-Benachrichtigungen der mobilen App (Firebase Cloud Messaging, siehe oben) können Sie Benachrichtigungen im Browser erhalten, im Dashboard für Ihr Benutzerkonto und im Angehörigen-Portal. Das geschieht nur, wenn Sie die Benachrichtigungen selbst einschalten und in Ihrem Browser erlauben. Wir speichern dafür die Zustelladresse (Endpunkt) und die Schlüssel, die Ihr Browser für dieses Abonnement erzeugt, die Zuordnung zu Ihrem Benutzerkonto oder zu Ihrem Portalzugang und der betreuten Person, gegebenenfalls eine Gerätebezeichnung, bei Benutzerkonten außerdem die Browserkennung (User-Agent) sowie Zeitstempel.

Zustellung über den Push-Dienst Ihres Browsers. Jede Benachrichtigung übergeben wir an den Push-Dienst, den Ihr Browser dafür vorgibt, nicht an einen von uns ausgewählten Dienstleister. Der Inhalt ist zwischen unserem Server und Ihrem Browser verschlüsselt (RFC 8291), der Push-Dienst kann ihn nicht lesen. Er erfährt aber, dass und wann eine Benachrichtigung an Ihr Gerät geht. Sein Betreiber kann seinen Sitz außerhalb der Europäischen Union haben, zum Beispiel in den USA. Benachrichtigungen im Angehörigen-Portal nennen den Namen der betreuten Person und die ersten 80 Zeichen der Mitteilung des Pflegedienstes. Je nach Einstellung Ihres Geräts kann das auf dem Sperrbildschirm sichtbar sein.

Rechtsgrundlage, Widerruf und Löschung. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG). Sie können sie jederzeit widerrufen, indem Sie die Benachrichtigungen in den Einstellungen Ihres Benutzerkontos oder im Angehörigen-Portal ausschalten oder die Erlaubnis in Ihrem Browser entziehen. Abgemeldete und vom Push-Dienst als ungültig gemeldete Abonnements verwenden wir nicht mehr. Bei Benutzerkonten löschen wir sie 30 Tage danach, im Angehörigen-Portal spätestens zusammen mit dem Datensatz der betreuten Person.

Eigenverantwortliche Verarbeitung durch Stripe. Stripe verarbeitet Zahlungsdaten nicht durchgehend in unserem Auftrag. Für die Erkennung und Verhinderung von Betrug, für die Erfüllung geldwäscherechtlicher Pflichten (Identifizierung von Vertragspartnern und Transaktionsprüfung), für sonstige gesetzliche Pflichten sowie für die Weiterentwicklung der eigenen Dienste handelt Stripe als eigener Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Insoweit unterliegt Stripe nicht unseren Weisungen; maßgeblich ist die Datenschutzerklärung von Stripe (stripe.com/de/privacy). Betroffenenrechte können Sie für diese Verarbeitungen unmittelbar gegenüber Stripe geltend machen.

Zahlarten im Bestellvorgang. Je nach der im Bestellvorgang gewählten Zahlart übermittelt Stripe die zur Zahlung nötigen Daten an den jeweiligen Zahlungsdienst. Angeboten werden Kartenzahlung, PayPal und SEPA-Lastschrift. Bei PayPal werden Sie dazu auf die Website des Anbieters weitergeleitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zu den Anbietern:

• PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg: PayPal bezeichnet sich in seiner Datenschutzerklärung für Personen im EWR selbst als Verantwortlichen (die PayPal-Gesellschaft im Land Ihres Wohnsitzes, für die EU die genannte Gesellschaft). Übermittlungen in Länder außerhalb des EWR stützt PayPal nach eigener Angabe auf Angemessenheitsbeschlüsse oder Standardvertragsklauseln der Europäischen Kommission. Datenschutzerklärung: paypal.com/de/legalhub/paypal/privacy-full.
• Apple Pay und Google Pay: Bei der Kartenzahlung kann Ihnen der Bestellvorgang je nach Gerät und Browser auch Apple Pay oder Google Pay anbieten. Wählen Sie eines davon, übermittelt Stripe die zur Zahlung nötigen Daten an den jeweiligen Anbieter.

Eine Weitergabe an Dritte zu anderen Zwecken erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet.

5. Cookies und Tracking

Alltagora setzt technisch notwendige Cookies sowie, nur nach Ihrer ausdrücklichen Einwilligung über unseren Cookie-Banner, Analyse- und Marketing-Cookies ein. Sie können Ihre Einwilligung jederzeit und so einfach wie die Erteilung über den Link „Cookie-Einstellungen" im Seitenfuß mit Wirkung für die Zukunft widerrufen oder anpassen.

Technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG, keine Einwilligung erforderlich):

• Anmelde-Token (JWT): für die Authentifizierung nach dem Login. Im Dashboard und in der mobilen App liegt es im Browserspeicher (localStorage) Ihres Geräts, getrennt je Mandant. Zusätzlich setzt unser Server es als HttpOnly-Cookie (__Host-at_access für das Zugriffstoken, __Host-at_refresh für das Verlängerungs-Token), nur über HTTPS, SameSite=Strict, mit derselben Laufzeit wie das Token. Das Zugriffstoken gilt höchstens 24 Stunden, das Verlängerungs-Token höchstens 30 Tage ab der letzten Erneuerung. Beim Abmelden werden beide gelöscht und serverseitig gesperrt. Das Token wird ausschließlich an unsere eigene Schnittstelle gesendet. Das Verwaltungs-Panel unserer Plattform verwendet ausschließlich ein HttpOnly-Cookie.
• Cookie-Einstellungen (alltagora_cookie_consent_v2 im Browserspeicher, Spiegel-Cookie at_consent): Halten Ihre Auswahl im Cookie-Banner fest, damit wir sie nicht bei jedem Aufruf erneut abfragen. Inhalt: Ihre Entscheidung je Dienst und der Zeitpunkt, keine Kennung. Gültigkeit 12 Monate, danach fragen wir erneut. Das Speichern der Einwilligung ist selbst keine einwilligungspflichtige Verarbeitung (§ 25 Abs. 2 Nr. 2 TDDDG).
• Beta-/Vorschau-Zugang (cs_access, cs_mode): Technisch notwendige Cookies, die nur gesetzt werden, wenn Sie einen Einladungs-/Beta-Code eingeben, um einen Vorschaubereich freizuschalten. Signiert, keine Nutzer-Identifikation, kein Tracking. Lebensdauer bis zum Sitzungsende bzw. 60 Sekunden (Modus-Cache).
• Cloudflare Turnstile (__cf_bm): Technisch notwendiges Cookie zur Bot-Erkennung auf den Login-, Demo-Code-, Passwort-zurücksetzen- und Onboarding-Formularen (die Demo-Terminbuchung nutzt keinen Cloudflare-Bot-Schutz, sondern serverseitige Zugriffsbegrenzung). Lebensdauer 30 Minuten. Wird ausschließlich für den Spam-Schutz gesetzt und nicht zur Nutzer-Identifikation oder zum Tracking verwendet.
• Freigegebenes Gerät (at_geraet): Technisch notwendiges Cookie, mit dem wir ein Gerät wiedererkennen, für das eine Anmeldung bereits per E-Mail bestätigt wurde. Es enthält ausschließlich 32 Byte Zufall ohne Bezug zu Ihrer Person. In unserer Datenbank steht davon nur ein Prüfwert (SHA-256), aus dem sich das Cookie nicht zurückbilden lässt. HttpOnly, im laufenden Betrieb nur über HTTPS, SameSite=Lax. Lebensdauer 180 Tage. Zweck ist die Sicherheit Ihres Kontos: ohne dieses Cookie müssten Sie jede Anmeldung erneut per E-Mail bestätigen. Einzelheiten in Ziffer 31.
• Wartemarke (at_geraet_wartet): Technisch notwendiges Cookie, das den wartenden Browser mit der Anmeldung verbindet, die Sie gerade per E-Mail bestätigen. Ebenfalls nur Zufall, in der Datenbank nur als Prüfwert. HttpOnly, im laufenden Betrieb nur über HTTPS, SameSite=Lax. Lebensdauer 15 Minuten. Es ist der Grund, warum die Bestätigung allein niemandem Zugang verschafft: die Sitzung entsteht ausschließlich in dem Browser, der diese Marke vorlegt. Einzelheiten in Ziffer 31.

Reichweitenmessung ohne Einwilligung: Die statistische Auswertung der Seitenaufrufe läuft ausschließlich auf unseren eigenen Servern, ohne Cookies. Sie setzt keine Einwilligung voraus und stützt sich auf Art. 6 Abs. 1 lit. f DSGVO. Einzelheiten in Ziffer 26.

Analyse und Marketing (Art. 6 Abs. 1 lit. a DSGVO, für das Speichern und Auslesen von Cookies zusätzlich § 25 Abs. 1 TDDDG, nur mit Einwilligung): Sie entscheiden hier je Dienst und nicht nur je Kategorie. Kein Dienst ist vorausgewählt, und keiner wird geladen, solange Sie ihn nicht einzeln freigegeben haben.

Kategorie „Analyse"

• Plausible-Interaktion: Erweitert die einwilligungsfreie Reichweitenmessung aus Ziffer 26 um Verweildauer, Scroll-Tiefe und benannte Ereignisse. Ohne Cookie: Für diesen Dienst wird nichts auf Ihrem Endgerät gespeichert und nichts von dort ausgelesen. Einzelheiten in Ziffer 26.
• Matomo: Analyse-Software auf unserem eigenen Server in Deutschland, die wiederkehrende Besuche über das Cookie _pk_id mit einer Laufzeit von 13 Monaten wiedererkennt. Einzelheiten in Ziffer 28.

Kategorie „Marketing"

• Meta-Pixel: Erfolgsmessung unserer Facebook- und Instagram-Anzeigen. Einzelheiten in Ziffer 23.
• Google Ads: Erfolgsmessung von Anzeigen in der Google-Suche. Vorbereitet, aber nur während einer laufenden Kampagne geladen. Läuft keine Kampagne, findet auch nach einer Freigabe kein Aufruf bei Google statt. Einzelheiten in Ziffer 24.
• A/B-Tests und Empfehlungs-Tracking: Eine zufällige Besucher-Kennung (UUID) im Cookie at_visitor_id, mit der wir Varianten unserer Seiten vergleichen und Empfehlungs-Links (Partnercodes) einer späteren Vertragsanbahnung zuordnen können. Laufzeit 12 Monate. Das Cookie wird erst mit Ihrer Einwilligung gesetzt und beim Widerruf gelöscht.

Widerruf je Dienst: Sie können jeden dieser fünf Dienste einzeln und jederzeit unter Datenschutz-Einstellungen abschalten, so einfach wie Sie ihn erteilt haben (Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt für die Zukunft, die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Google Tag Manager und Google Analytics setzen wir nicht ein.

Nachweis Ihrer Cookie-Einwilligung (Art. 7 Abs. 1 DSGVO): Zum Nachweis einer wirksam erteilten oder widerrufenen Einwilligung speichern wir den Zeitpunkt, den Umfang Ihrer Auswahl sowie einen pseudonymisierten Hash-Wert Ihrer IP-Adresse (kein Klartext) für die Dauer von drei Jahren (Verjährungsfrist nach § 195 BGB). Rechtsgrundlage ist unsere gesetzliche Rechenschaftspflicht (Art. 5 Abs. 2 i.V.m. Art. 7 Abs. 1 DSGVO) sowie unser berechtigtes Interesse an der Beweissicherung (Art. 6 Abs. 1 lit. f DSGVO). Diese Nachweis-Daten werden ausschließlich zu Beweiszwecken vorgehalten und nach Ablauf der Frist automatisch gelöscht.

Google Fonts: Wir nutzen Google Fonts ausschließlich lokal eingebunden. Es findet kein Datentransfer zu Google-Servern statt.

Rechtsgrundlage: Das Speichern dieser technisch notwendigen Cookies erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis zum 14.05.2024 TTDSG). Eine Einwilligung ist nicht erforderlich, da diese Cookies für die Erbringung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich sind.

6. Datenspeicherung und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist:

• Kundendaten: Für die Dauer des Vertragsverhältnisses, danach 30 Tage Aufbewahrungsfrist vor endgültiger Löschung
• Rechnungen und Buchungsbelege: 8 Jahre ab Schluss des Kalenderjahrs (§ 14b Abs. 1 UStG, § 147 Abs. 1 Nr. 4, Abs. 3 und 4 AO in der seit dem 1. Januar 2025 geltenden Fassung); Bücher, Aufzeichnungen und Prüfprotokolle 10 Jahre (§ 147 Abs. 1 Nr. 1 AO)
• Audit-Logs: Abrechnungsrelevante Einträge 10 Jahre gemäß GoBD / § 257 HGB / § 147 AO; Prüfprotokolle unserer Plattformverwaltung werden nach 3 Jahren automatisch gelöscht. Übrige Prüfprotokolle innerhalb eines Kundenkontos löschen wir nach 3 Jahren automatisch, auch während der Vertragslaufzeit. Daten ausgeschiedener Beschäftigter unserer Kunden: Anschrift, Geburtsdatum, Telefonnummern, Foto, Gehaltsangabe und interne Notizen löschen wir drei Jahre nach Ende des Jahres, in dem der Kunde die Person archiviert hat. Name, Mitarbeiter- und Beschäftigtennummer sowie die Qualifikation bleiben erhalten, solange Leistungsnachweise oder Pflegedokumentation die Person als handelnde nennen, längstens zehn Jahre (§ 630f Abs. 3 BGB). Einträge zu Abrechnungs- und Gesundheitsdaten nimmt die automatische Löschung aus, für sie gelten die Fristen dieser Ziffer für die Kontolöschung. Protokolle reiner Lesezugriffe auf Gesundheitsdaten löschen wir nach 12 Monaten automatisch.
• Server-Logs: 30 Tage
• Angaben zu einer Kündigung: bis zur Löschung des Mandanten, also 30 Tage nach Vertragsende (Ziffer 48)
• Befragungen und Antworten: bis zur Löschung des Mandanten (Ziffer 49)

Nach Kündigung eines Kundenkontos werden die Tenant-Daten nach Ablauf der 30-tägigen Aufbewahrungsfrist gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Aufbewahrungspflichtige Daten (insbesondere Rechnungen, Belege und Buchungsunterlagen) werden gesperrt und nach Ablauf der Fristen aus Ziffer 3.4 gelöscht.

7. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte, die Sie jederzeit ausüben können:

• Auskunftsrecht (Art. 15 DSGVO): Welche Daten wir über Sie gespeichert haben
• Berichtigungsrecht (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Recht auf Löschung (Art. 17 DSGVO): Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Im Dashboard unter Einstellungen → Datenschutz verfügbar.
• Recht auf Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung in bestimmten Fällen
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten als maschinenlesbares Format. Im Dashboard unter Einstellungen → Datenschutz verfügbar.
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen, gegen Werbung jederzeit und ohne Begründung (Art. 21 Abs. 2 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an: datenschutz@alltagora.de

Sie haben außerdem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Für Nordrhein-Westfalen: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Kavalleriestr. 2–4, 40213 Düsseldorf.

8. Datensicherheit

Die Server, die wir selbst betreiben, stehen ausschließlich in Deutschland (24fire GmbH, Kronenstraße 4, 68723 Schwetzingen). Verschlüsselte Sicherungskopien liegen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Deutschland). Eine Datenübertragung in die USA findet in folgenden, jeweils durch EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesicherten Fällen statt: Stripe (Zahlungsabwicklung), Anthropic (über das Cloudflare-AI-Gateway: KI-gestützte Struktur-Extraktion aus Pflege- und Betreuungsdokumentation und Entwürfe für Klientenstatus-Zusammenfassungen, beides derzeit abgeschaltet, keine Gesundheitsdaten, direkt: Support-Chat und Ticket-Einordnung nach Ziffer 12), Firebase Cloud Messaging (Push-Benachrichtigungen der mobilen App, sofern aktiviert), Cloudflare (Bot-Schutz Turnstile nach Ziffer 4 und vorgeschalteter Proxy unseres CRM Onyx, Ziffer 22), Hyperping (Erreichbarkeitsprüfung nach Ziffer 4, Unterauftragsverarbeiter in den USA und Messstationen auch außerhalb der EU) sowie, nur mit Ihrer Einwilligung, YouTube (Ziffer 19), Meta (Ziffer 23), Google Ads (Ziffer 24) und WhatsApp (Ziffer 27).

Wir setzen dem Stand der Technik entsprechende Sicherheitsmaßnahmen ein:

• Verschlüsselung aller Datenübertragungen per TLS (Version 1.2 oder 1.3)
• Verschlüsselte Speicherung ausgewählter personenbezogener Felder in der Datenbank mit AES-256-GCM, darunter Vor- und Nachnamen und Telefonnummern der Klienten sowie die E-Mail-Adressen der Benutzerkonten, außerdem verschlüsselte Ablage hochgeladener Dokumente und der Datenbanksicherungen. Der Datenträger des Servers ist nicht zusätzlich verschlüsselt.
• Zwei-Faktor-Authentifizierung (2FA/TOTP nach RFC 6238)
• Rollenbasierte Zugriffskontrolle (RBAC) mit 7 Rollen
• IP-Sperren bei Brute-Force-Angriffen
• Vollständige Audit-Logs aller sicherheitsrelevanten Aktionen
• Tägliche automatische Backups mit Integritätsprüfung
• Bestätigung neuer Anmeldungen per E-Mail bei Konten ohne Zwei-Faktor-Anmeldung (Ziffer 31)
• Signatur jedes Schreibvorgangs aus der mobilen App durch das erfassende Gerät (Ziffer 33)
• Belege für Klienten und andere Empfänger über einen persönlichen, zeitlich begrenzten Abruflink statt als E-Mail-Anhang; Anhänge nur auf ausdrückliche Wahl des Dienstes im Einzelfall (Ziffer 35)
• Sicherheitswort in jeder E-Mail und auf jedem Beleg sowie Prüfcode zur Echtheitsprüfung jeder E-Mail (Ziffer 36)

9. Datenpannen (Art. 33/34 DSGVO)

Im Fall einer Datenpanne, die voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, benachrichtigen wir die zuständige Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden. Betroffene Kunden werden unverzüglich per E-Mail informiert.

10. Auftragsverarbeitungsvertrag (AVV)

Als Betreiber eines ambulanten Betreuungsdienstes verarbeiten Sie mit Alltagora personenbezogene Daten Ihrer Klienten und Mitarbeiter. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen Sie bei der Registrierung elektronisch mit uns ab. Die jeweils gültige Fassung finden Sie unter alltagora.de/avv. Fragen richten Sie bitte an legal@alltagora.de.

Nachweis Ihrer Zustimmung: Ändert sich der Auftragsverarbeitungsvertrag, legen wir die neue Fassung den Administratoren Ihres Kundenkontos beim nächsten Aufruf des Dashboards zur Zustimmung vor. Zum Nachweis, welche Fassung wem angezeigt wurde und wie entschieden wurde, speichern wir: das Benutzerkonto, den Zeitpunkt der Anzeige, ob der Text bis zum Ende angezeigt wurde, Zeitpunkt und Art der Entscheidung (Zustimmung oder Widerspruch, bei einem Widerspruch die angegebene Begründung), Fassung und Prüfsumme des Vertragstextes, die Kennung Ihres Browsers sowie einen pseudonymisierten Hash-Wert Ihrer IP-Adresse (kein Klartext). Über Ihre Entscheidung erhalten Sie eine Bestätigung per E-Mail, bei einer Zustimmung mit dem Vertragstext als PDF. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, den Abschluss des Auftragsverarbeitungsvertrags in der nach Art. 28 Abs. 9 DSGVO geforderten Form nachweisen zu können. Sind Sie selbst unser Vertragspartner, stützen wir die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO. Die Nachweise bewahren wir für die Dauer des Vertrags auf und nach Löschung Ihres Kundenkontos bis zum Ende des dritten darauffolgenden Kalenderjahres (regelmäßige Verjährung nach §§ 195, 199 BGB), danach löschen wir sie automatisch.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Die jeweils gültige Fassung mit Stand-Datum finden Sie unter alltagora.de/datenschutz. Änderungen am Auftragsverarbeitungsvertrag kündigen wir Ihnen nach den dort vereinbarten Regeln gesondert per E-Mail an.

12. Support-System und Kommunikationsdaten

12.1 Support-Tickets

Wenn Sie über das Support-Widget, das Support-Portal oder per E-Mail ein Support-Ticket erstellen, verarbeiten wir folgende Daten:

• Name und E-Mail-Adresse des Anfragenden
• Inhalt der Support-Anfrage und des Kommunikationsverlaufs
• Kanal der Anfrage (Web, E-Mail, Live-Chat)
• Technische Metadaten (Zeitstempel, Ticket-Nummer)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Support ist Bestandteil des vereinbarten Leistungsumfangs.

KI-gestützte Einordnung und Antwortvorschläge: Zur Einordnung und Priorisierung neuer Tickets (Triage) sowie für Antwortvorschläge und die Nachbereitung durch unsere Mitarbeiter übermitteln wir Betreff und Inhalt der Anfrage an unseren Auftragsverarbeiter Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, als Vertragspartner, gemeinsam mit dem verbundenen Unternehmen Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA. Die Anfragen gehen direkt an Anthropic, nicht über das KI-Gateway aus Ziffer 4. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); die Inhalte werden von Anthropic nicht zum Training von KI-Modellen verwendet. Die Einordnung ist ein Vorschlag: Über Bearbeitung, Priorität und Antwort entscheidet ein Mensch, eine automatisierte Entscheidung nach Art. 22 DSGVO findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (zügige und sachgerechte Bearbeitung). Bitte nennen Sie in Support-Anfragen keine Gesundheitsdaten oder sonstigen besonderen Kategorien personenbezogener Daten; bitten Sie stattdessen um Rückruf oder nutzen Sie die Postanschrift aus Ziffer 1.

12.2 Aufbewahrung und Löschung von Support-Daten

Support-Tickets und deren Kommunikationsinhalt werden nach vollständiger Lösung und Ablauf von 3 Jahren automatisch anonymisiert. Die Ticket-Nummer und der Zeitstempel verbleiben für Auditierungszwecke, ohne Personenbezug.

E-Mails, die als Spam eingestuft werden, werden nach 30 Tagen automatisch gelöscht.

12.3 CSAT-Bewertungen

Nach Lösung eines Tickets senden wir Ihnen eine einmalige E-Mail zur Bewertung unseres Supports (Customer Satisfaction Score, CSAT). Diese E-Mail ist eine transaktionale Servicemitteilung auf Basis von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Servicequalität). Eine Ablehnung ist durch Nichtklicken möglich; es werden keine Tracking-Pixel eingesetzt.

12.4 Live-Chat

Chat-Verläufe werden für die Dauer der Support-Interaktion gespeichert und anschließend dem zugehörigen Ticket zugeordnet. Es gelten dieselben Aufbewahrungsfristen wie für Support-Tickets (3 Jahre, dann Anonymisierung).

12.5 KI-gestützte Chat-Antworten

Erste Antworten im Live-Chat können automatisiert durch ein KI-Sprachmodell erstellt werden. Hierzu übermitteln wir den Inhalt Ihrer Chat-Nachrichten (ohne Pflicht zur Angabe personenbezogener Daten) an unseren Auftragsverarbeiter Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, als Vertragspartner, gemeinsam mit dem verbundenen Unternehmen Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); die Inhalte werden von Anthropic nicht zum Training von KI-Modellen verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Beantwortung Ihrer Anfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (effiziente Erstreaktion). Bitte geben Sie im Chat keine Gesundheitsdaten oder sonstige besonderen Kategorien personenbezogener Daten ein. Für solche Anliegen bitten Sie um Rückruf oder nutzen Sie die Postanschrift aus Ziffer 1; auch Support-Tickets werden nach Ziffer 12.1 KI-gestützt eingeordnet.

12.6 Zugriff durch Alltagora-Personal auf Ihr Konto (In Mandat anmelden)

Zur Fehlersuche und Unterstützung kann sich Personal von Alltagora im Konto Ihres Pflegedienstes anmelden. Es sieht dann dieselben Daten wie Sie und Ihre Mitarbeiter, einschließlich der Daten Ihrer Klienten.

• Wann: Nur auf Ihre Support-Anfrage hin oder zur Behebung einer von uns erkannten Störung, in beiden Fällen mit dokumentiertem Grund. Ohne Angabe eines Grundes lässt sich die Anmeldung nicht starten.
• Wer und wie weit: Support-Mitarbeiter erhalten ausschließlich lesenden Zugriff. Administratoren von Alltagora können auch Änderungen vornehmen, etwa um eine fehlerhafte Einstellung zu korrigieren.
• Dauer: Jede Sitzung endet spätestens nach 30 Minuten von selbst.
• Protokoll: Beginn, Grund und handelnde Person halten wir in unserem Betreiber-Protokoll fest. Alle dabei vorgenommenen Änderungen stehen zusätzlich im Audit-Log Ihres Kontos. Eine Ansicht dieses Protokolls in Ihrem Konto gibt es derzeit nicht. Einen Auszug erhalten Sie auf Anfrage per E-Mail an legal@alltagora.de.
• Abschaltung: In den Einstellungen Ihres Kontos finden Sie den Schalter „Support-Zugriff erlauben" (Voreinstellung: aus bei Konten, die ab dem 13. Oktober 2026 angelegt werden, an bei älteren Konten). Ist er ausgeschaltet, ist keine Anmeldung durch Alltagora-Personal möglich. Unterstützung erfolgt dann nur nach Ihrer ausdrücklichen Freigabe im Einzelfall.

Rechtsgrundlage: Gegenüber Ihnen als Vertragspartner Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Für die Daten Ihrer Klienten und Mitarbeiter handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Ihre Weisung. Ihre Support-Anfrage beziehungsweise der eingeschaltete Schalter ist diese Weisung (Ziffer 10). Die Protokollierung dient der Sicherheit der Verarbeitung nach Art. 32 DSGVO. Die Verarbeitung findet ausschließlich auf unseren Servern in Deutschland statt. Es sind keine Dienstleister beteiligt, eine Übermittlung in ein Drittland erfolgt nicht.

13. Demo-Zugang

Beim Anfordern eines Demo-Zugangs verarbeiten wir folgende Daten: Ihren Vornamen (Pflicht), Ihre E-Mail-Adresse (Pflicht), Ihren Pflegedienst- oder Firmennamen (Pflicht), Ihren Nachnamen (optional, nur zur Sales-Lead-Qualifikation) sowie Datum und IP-Adresse Ihrer Einwilligung (zur DSGVO-Beweispflicht nach Art. 7 Abs. 1 DSGVO). Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Nutzungsbedingungen und geteilter Demo-Mandant: Der Demo-Zugang setzt die Zustimmung zu unseren Nutzungsbedingungen für Demos voraus. Zeitpunkt und Fassung Ihrer Zustimmung speichern wir zusammen mit dem Zugangscode (Art. 6 Abs. 1 lit. b, Art. 7 Abs. 1 DSGVO). Alle Interessenten arbeiten im selben Demo-Mandanten mit erfundenen Daten. Was Sie dort eingeben, ist für andere Interessenten sichtbar. Angelegte Klienten, Mitarbeiter, Benutzerkonten, Einsätze, Rechnungen, Leistungsnachweise, Dokumentationen und hochgeladene Dokumente werden täglich um 03:30 Uhr gelöscht; Einstellungen des Demo-Mandanten werden nicht automatisch zurückgesetzt. Geben Sie keine Daten realer Personen ein, insbesondere keine Gesundheitsdaten (Art. 9 DSGVO). Für Eingaben in den Demo-Mandanten sind wir kein Auftragsverarbeiter, ein Auftragsverarbeitungsvertrag wird für die Demo nicht geschlossen. Erkennen wir echte Personendaten, löschen wir sie sofort. E-Mails, die aus dem Demo-Mandanten heraus ausgelöst werden, verlassen das System nicht, sondern werden an ein internes Postfach umgeleitet.

Beweispflicht-Aufbewahrung: Eine pseudonymisierte Kopie Ihres Einwilligungs-Nachweises (SHA-256-Hash der E-Mail + IP + Zeitpunkt) wird gemäß Art. 7 Abs. 1 DSGVO in der Tabelle dsgvo_consent_proofs für die zivilrechtliche Verjährungsfrist von 3 Jahren (§ 195 BGB) aufbewahrt. Diese Beweis-Daten enthalten Ihre E-Mail nicht im Klartext.

Funnel-Tracking: Klicken Sie auf den Demo-Link in Ihrer E-Mail, werden die Marketing-Parameter utm_source, utm_medium und utm_campaign (Standardwerte: email, demo_code, demo_request) zur Auswertung der Conversion-Rate gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Funnel-Optimierung). Diese Parameter enthalten keine personenbezogenen Daten.

Wir speichern diese Daten ausschließlich für die Bereitstellung des Demo-Zugangs und löschen sie automatisch 30 Tage nach Ablauf des Zugangscodes (7-Tage-Einlösefenster zzgl. 30-Tage-Forensik-Window). Sie können Ihre Einwilligung jederzeit formlos widerrufen. Schreiben Sie uns dazu an datenschutz@alltagora.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Werbeverbot ohne Einwilligung (§ 7 Abs. 2 Nr. 3 UWG): Wir kontaktieren Sie ausschließlich zur Bereitstellung des Demo-Zugangs. Werbliche Ansprache, Vertriebsanrufe oder Newsletter-Versand erfolgen nur mit Ihrer separaten, ausdrücklichen Einwilligung.

14. Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in so genannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer-URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse (vollständig gespeichert; eine automatische Kürzung findet derzeit nicht statt)

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung sowie an der Abwehr von Angriffen und missbräuchlicher Nutzung (z. B. Brute-Force, DDoS); die ungekürzte IP-Adresse ist hierfür erforderlich, um Angriffsquellen zuverlässig zu identifizieren und zu sperren. Eine Auswertung erfolgt anlassbezogen. Die Logs werden nach 30 Tagen gelöscht.

15. Datenschutz-Kontakt

Alltagora verarbeitet im Rahmen der Auftragsverarbeitung für ambulante Betreuungs- und Pflegedienste regelmäßig besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (Gesundheitsdaten).

Für alle Fragen zum Datenschutz, zur Ausübung Ihrer Rechte nach Ziffer 7 und für Hinweise auf eine mögliche Verletzung des Schutzes personenbezogener Daten erreichen Sie uns unmittelbar und vertraulich unter:

Reinert Digital Solutions
Münsterstraße 275
40470 Düsseldorf

E-Mail: datenschutz@alltagora.de

Anfragen behandeln wir vertraulich. Ihr Recht, sich bei einer Aufsichtsbehörde zu beschweren, bleibt davon unberührt und ist in Ziffer 7 beschrieben.

16. KI-gestützte Assistenzfunktionen

Auf unserer Website und in der Anwendung bieten wir KI-gestützte Assistenzfunktionen an: einen öffentlichen Ratgeber-Assistenten (Beantwortung von Fachfragen aus unseren veröffentlichten Inhalten) sowie einen Support-Chat-Assistenten (Beantwortung von Fragen zur Software). Die Verarbeitung erfolgt über den Dienstleister Anthropic Ireland, Limited; zu den Empfängern und Drittlandtransfers siehe Ziffer 4 und 8 dieser Erklärung.

Verarbeitete Daten: der von Ihnen eingegebene Text sowie die generierte Antwort. Vor der Übermittlung an das Sprachmodell werden erkennbare personenbezogene Angaben (z. B. E-Mail-Adressen, Telefonnummern) automatisiert maskiert. Regulär speichern wir Ihre Eingabe nur als nicht umkehrbaren Hashwert (kein Klartext); die generierte Antwort wird zur Qualitätssicherung gespeichert und nach spätestens 180 Tagen gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung eines funktionsfähigen, hilfreichen Assistenzangebots.

Missbrauchsabwehr: Zur Erkennung und Abwehr von Missbrauch (etwa Manipulationsversuchen am Sprachmodell, automatisierten Massenanfragen oder rechtswidrigen Eingaben) prüfen wir Anfragen automatisiert auf auffällige Muster. Wird eine Anfrage als auffällig eingestuft, speichern wir den maskierten Eingabetext ausnahmsweise im Klartext, um den Vorfall nachvollziehen und abwehren zu können. Diese Speicherung ist auf 90 Tage befristet; danach wird der Klartext automatisiert gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit und Integrität unserer Systeme sowie die Abwehr rechtswidriger Nutzung.

Schlecht bewertete Antworten: Im Support-Chat-Assistenten der Anwendung können Sie eine Antwort mit „Daumen runter“ als nicht hilfreich bewerten. Dann speichern wir Ihre letzte Frage zu dieser Antwort ausnahmsweise im Klartext, zusammen mit der Antwort, der Bewertung, dem Zeitpunkt und einem pseudonymisierten Hash-Wert Ihrer IP-Adresse. Vorher maskieren wir automatisiert E-Mail-Adressen, Telefonnummern, Bankverbindungen (IBAN), Datumsangaben und Postleitzahlen. Namen erkennt die Maskierung nur direkt nach einer Anrede oder Rolle wie „Frau“, „Herr“, „Klientin“ oder „Klient“. Andere Namen erkennt sie nicht. Bitte geben Sie deshalb keine Namen, Gesundheitsangaben oder sonstigen Daten Ihrer Klientinnen, Klienten oder Beschäftigten in den Chat ein. Ihr Benutzerkonto speichern wir dazu nicht. Zweck ist, Fehler des Assistenten und Lücken in unseren Hilfeartikeln zu erkennen und zu beheben. Dazu werten unsere Support-Mitarbeitenden die Fragen einzeln und zusammengefasst statistisch aus. Den Klartext der Frage löschen wir nach 90 Tagen automatisiert, die Bewertung nach 180 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein Hilfeangebot, das richtige Antworten gibt. Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 7). Ohne negative Bewertung speichern wir Ihre Frage nicht im Klartext.

Keine automatisierte Entscheidung mit Rechtswirkung: Die Assistenten treffen keine Sie betreffenden rechtlich bindenden oder ähnlich erheblichen automatisierten Einzelentscheidungen im Sinne des Art. 22 DSGVO. Die Antworten dienen ausschließlich der Information und ersetzen keine individuelle Beratung.

Widerspruchsrecht: Sie können der auf Art. 6 Abs. 1 lit. f DSGVO gestützten Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Die Nutzung der Assistenten ist freiwillig; Sie können Ihr Anliegen alternativ per E-Mail oder über das Kontaktformular an uns richten.

17. Keine automatisierte Entscheidung im Einzelfall

Eine ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt. Die eingesetzte KI dient ausschließlich der Vorstrukturierung von Dokumentation und der Erstreaktion im Support; die fachliche und rechtliche Letztentscheidung trifft stets ein Mensch.

18. Doppelrolle des Anbieters (Verantwortlicher und Auftragsverarbeiter)

Für die Daten der Plattform-Nutzer (z. B. Account-, Vertrags- und Abrechnungsdaten der Kunden) ist der Anbieter Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Für die im Auftrag der Kunden verarbeiteten Inhaltsdaten (Klienten- und Mitarbeiterdaten der Dienste) ist der Anbieter Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO; insoweit gilt der Auftragsverarbeitungsvertrag (AVV).

19. Externe Medien (YouTube)

Auf einzelnen Seiten (z. B. Webinar-Aufzeichnungen) binden wir Videos des Dienstes YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein. Wir verwenden eine Zwei-Klick-Lösung: Beim Aufruf der Seite wird keine Verbindung zu YouTube/Google hergestellt. Erst wenn Sie die Vorschau aktiv anklicken, werden Vorschaubild bzw. Video von YouTube-Servern geladen; dabei werden Ihre IP-Adresse und Geräteinformationen an Google übermittelt (mögliche Weiterverarbeitung auch in den USA auf Grundlage des EU-US Data Privacy Framework).

Rechtsgrundlage: Ihre Einwilligung durch den aktiven Klick, Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit mit Wirkung für die Zukunft durch Schließen bzw. Nichtnutzung der Vorschau. Details: Google-Datenschutzerklärung.

20. Newsletter

Für den Bezug unseres Newsletters verarbeiten wir Ihre E-Mail-Adresse sowie Datum, Uhrzeit und einen gekürzten Hash der IP-Adresse Ihrer Anmeldung. Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Sie erhalten eine Bestätigungs-E-Mail und werden erst nach Klick auf den Bestätigungslink in den Verteiler aufgenommen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); der Nachweis wird gemäß Art. 7 Abs. 1 DSGVO gespeichert.

Öffnungs- und Klickmessung: Nur wenn Sie bei der Anmeldung zusätzlich in die Erfolgsmessung eingewilligt haben (§ 25 Abs. 1 TDDDG), enthalten unsere Newsletter ein Zählpixel und individualisierte Links, über die wir Öffnungen und Klicks erfassen. Gespeichert werden dabei der Zeitpunkt, ein Pseudonym Ihrer IP-Adresse und die Kennung Ihres E-Mail-Programms oder Browsers. Die IP-Adresse wird dabei nicht gekürzt, sondern mit einem geheimen, gleichbleibenden Schlüssel durch einen Prüfwert ersetzt (HMAC-SHA256), aus dem sie sich nicht zurückrechnen lässt. Es sind dieselben Angaben und dasselbe Verfahren wie in Ziffer 30, dort auch die Grenzen der Aussagekraft. Ohne diese separate Einwilligung versenden wir den Newsletter ohne Messung. Diese Einwilligung gilt nur für den Newsletter. Für unsere übrigen E-Mails fragen wir gesondert, siehe Ziffer 30.

Abmeldung: Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder die Ein-Klick-Abmeldung Ihres E-Mail-Programms (List-Unsubscribe, RFC 8058) abbestellen. Nach der Abmeldung bleibt Ihre E-Mail-Adresse zusammen mit dem Vermerk der Abmeldung bei uns gespeichert, damit wir Sie nicht versehentlich erneut anschreiben. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO: Eine erklärte Abmeldung lässt sich nur zuverlässig beachten, wenn wir wissen, dass sie erklärt wurde. Die Öffnungs- und Klick-Messdaten zu bereits versendeten Newslettern löschen wir spätestens 90 Tage nach ihrer Entstehung, unabhängig von Ihrer Abmeldung. Der Einwilligungs- und Abmeldenachweis bleibt für die Verjährungsfrist von 3 Jahren (§ 195 BGB) pseudonymisiert erhalten (Art. 7 Abs. 1 DSGVO).

Gutschein bei Anmeldung: Als Dankeschön für Ihre Anmeldung erzeugen wir einen persönlichen Rabattcode für den erstmaligen Abschluss eines kostenpflichtigen Monatsabonnements. Der Code entsteht erst nach Ihrem Klick auf den Bestätigungslink, nie vorher. Wir speichern ihn zusammen mit Ihrem Abonnement, damit er Ihnen zugeordnet bleibt und genau einmal ausgegeben wird. Zu demselben Zweck gleichen wir Ihre E-Mail-Adresse in einer vereinheitlichten Schreibweise ab. Rechtsgrundlage ist unser berechtigtes Interesse an einer geordneten und einmaligen Ausgabe (Art. 6 Abs. 1 lit. f DSGVO). Lösen Sie den Code später beim Anlegen eines Mandanten ein, übermitteln wir ihn an unseren Zahlungsdienstleister Stripe, damit der Rabatt auf Ihrer Rechnung erscheint (Ziffer 4). Vorher erfährt Stripe von dem Code nichts.

Der Gutschein ist keine Bedingung Ihrer Einwilligung. Sie können den Newsletter jederzeit abbestellen und behalten einen bereits erzeugten Code bis zu seinem Ablauf (Art. 7 Abs. 3 und Abs. 4 DSGVO). Der Code verliert seine Gültigkeit 90 Tage nach seiner Erzeugung. Bis dahin und darüber hinaus bleibt er bei Ihrem Abonnement gespeichert, für dessen Löschung die Angaben weiter oben in dieser Ziffer gelten. Ein eingelöster Code gehört zu Ihren Rechnungsdaten und unterliegt insoweit den Aufbewahrungsfristen aus Ziffer 6. Die Bedingungen des Gutscheins stehen in unseren Allgemeinen Geschäftsbedingungen.

21. Kontaktaufnahme über das Kontaktformular

Bei Anfragen über unser Kontaktformular verarbeiten wir: Name, E-Mail-Adresse, optional Telefonnummer, die gewählte Kategorie, Betreff und Ihre Nachricht sowie, bei Rückruf-Wunsch, Ihren Wunschtermin (Datum und Zeitfenster). Zur Missbrauchsabwehr speichern wir zusätzlich einen gekürzten Hash der IP-Adresse und den Browser-Typ. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung bzw. Durchführung eines Vertrags), im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Bitte übermitteln Sie über das Kontaktformular keine Gesundheitsdaten oder sonstigen besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Die Anfragedaten werden gelöscht, sobald die Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

22. Demo-Terminbuchung

Ergänzend zum Demo-Zugang (Ziffer 13) können Sie online einen persönlichen Demo-Termin buchen. Dabei verarbeiten wir: Name, E-Mail-Adresse, optional Telefonnummer und Firmenname, die gewünschte Terminart (Video oder Telefon), Termin und Zeitfenster sowie optional Ihre Freitext-Nachricht. Zur Missbrauchsabwehr speichern wir einen gekürzten IP-Hash und den Browser-Typ. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage).

Haben Sie zuvor in Marketing-Cookies eingewilligt, ordnen wir der Buchung zusätzlich die Kampagnen-Parameter Ihres Besuchs zu (utm-Parameter, Werbe-Klick-IDs wie gclid), um den Erfolg unserer Anzeigen zu messen (Art. 6 Abs. 1 lit. a DSGVO). Bitte geben Sie im Freitextfeld keine Gesundheits- oder Klientendaten an. Buchungsdaten werden nach Durchführung des Termins bzw. Ablauf gesetzlicher Aufbewahrungsfristen gelöscht.

Terminorganisation in unserem CRM „Onyx": Zur Vorbereitung, Bestätigung und Nachbereitung des Termins übertragen wir die Buchung in unser eigenes Kundenverwaltungssystem Onyx (onyx.reinert-digital.de), das wir selbst betreiben. Übertragen werden Name, E-Mail-Adresse, Telefonnummer und Firmenname (soweit angegeben), Terminart, Termin und Zeitfenster, Ihre Freitext-Nachricht, der Bearbeitungsstand der Buchung, die Nummer des zugehörigen Support-Vorgangs, bei Video-Terminen der Link zum Video-Gespräch sowie die Kampagnen-Parameter aus dem vorigen Absatz, sofern Sie in Marketing-Cookies eingewilligt haben. Onyx läuft auf Servern der 24fire GmbH, Kronenstraße 4, 68723 Schwetzingen (Deutschland, Auftragsverarbeiter nach Ziffer 4). Der Zugriff auf Onyx erfolgt über die Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, als vorgeschalteten Netzwerk-Proxy; Cloudflare leitet die verschlüsselte Verbindung weiter und speichert die Buchungsdaten nicht dauerhaft. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Cloudflare, Inc. zertifiziert ist. Nach Ziffer 6 des Auftragsverarbeitungsvertrags von Cloudflare gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) erst, wenn diese Zertifizierung entfällt. Rechtsgrundlage bleibt Art. 6 Abs. 1 lit. b DSGVO.

Video-Gespräch über unseren eigenen Jitsi-Server: Video-Demos führen wir über eine Jitsi-Meet-Instanz, die wir selbst unter video.onyx.reinert-digital.de betreiben. Sie läuft auf demselben Server der 24fire GmbH in Deutschland wie Onyx und ist nicht über Cloudflare geschaltet. Der Raumname enthält Ihren Vornamen und eine Zufallszeichenfolge. Während des Gesprächs verarbeitet der Server Ihre IP-Adresse, die Verbindungsdaten Ihres Browsers sowie die Audio- und Videoströme; diese werden nur zur Durchführung des Gesprächs zwischen den Teilnehmern übertragen. Inhalte des Gesprächs speichert der Server nicht, der Raum wird nach dem Gespräch verworfen. Ob wir das Gespräch aufzeichnen, entscheiden allein Sie, siehe den Absatz „Aufzeichnung nur mit Ihrer Einwilligung" unten. Der Verbindungsaufbau und die Übertragung laufen vollständig über diesen Server, eine Übermittlung in Drittländer findet dabei nicht statt. Ein Konto oder eine Installation ist nicht erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Den Link zum Video-Gespräch erhalten Sie mit der Terminbestätigung per E-Mail. In Onyx löschen wir die Buchung automatisch 12 Monate nach dem Termin, auf Ihre Anfrage auch früher. Ihre Rechte aus Ziffer 7 bleiben unberührt.

Nutzungsbedingungen: Die Buchung setzt die Zustimmung zu unseren Nutzungsbedingungen für Demos voraus (Vertraulichkeit, keine Aufzeichnung durch Teilnehmer, keine echten Klientendaten in Bildschirmfreigaben). Zeitpunkt und Fassung Ihrer Zustimmung speichern wir zur Buchung (Art. 6 Abs. 1 lit. b, Art. 7 Abs. 1 DSGVO). Teilnehmer dürfen das Gespräch nicht selbst aufzeichnen, die unbefugte Aufnahme des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar.

Aufzeichnung nur mit Ihrer Einwilligung: Wir zeichnen ein Demo-Gespräch nur auf, wenn Sie dem bei der Buchung oder zu Beginn des Gesprächs ausdrücklich zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO). Die Demo findet auch ohne diese Zustimmung in vollem Umfang statt (Art. 7 Abs. 4 DSGVO). Zweck der Aufzeichnung ist ausschließlich die interne Nachbereitung, die Schulung unserer Mitarbeitenden und der Nachweis, was im Gespräch besprochen und zugesagt wurde. Aufgezeichnet werden Bild und Ton der Teilnehmer sowie der geteilte Bildschirm. Die Aufzeichnung fertigt der Präsentator auf seinem Gerät an und legt sie verschlüsselt in unserem Objektspeicher auf unserem Server bei der 24fire GmbH in Deutschland ab (Ziffer 4). Sie wird nicht veröffentlicht, nicht für Werbung verwendet und nicht an Dritte weitergegeben. Wir löschen sie 90 Tage nach dem Gespräch automatisch. Kommt ein Vertrag zustande, bewahren wir sie zum Nachweis der Zusagen bis zum Ende des Vertrags zuzüglich der Verjährungsfrist von drei Jahren (§ 195 BGB) auf. Sie können Ihre Einwilligung jederzeit widerrufen, auch während des Gesprächs, wir löschen die Aufzeichnung dann innerhalb von 14 Tagen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Widerruf an datenschutz@alltagora.de. Ihre Zustimmung und einen Widerruf vermerken wir mit Uhrzeit zur Buchung.

23. Meta-Pixel (Facebook/Instagram-Werbung)

Wir nutzen auf unserer Website das Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland („Meta"), um den Erfolg unserer Anzeigen auf Facebook und Instagram zu messen und Besucher unserer Website dort erneut ansprechen zu können (Conversion-Messung, Retargeting).

Nur mit Einwilligung: Das Pixel wird ausschließlich geladen, wenn Sie zuvor über unseren Cookie-Banner oder die Datenschutz-Einstellungen den Dienst „Meta-Pixel“ freigegeben haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung findet keinerlei Datenübertragung an Meta statt. Nach Einwilligung verarbeitet Meta u. a.: IP-Adresse, Browser-Informationen, besuchte Seiten, ausgelöste Ereignisse (z. B. abgesendete Formulare) sowie die Cookies „_fbp" und „_fbc" (Speicherdauer jeweils bis 90 Tage).

Drittlandtransfer und gemeinsame Verantwortlichkeit: Dabei kann eine Übermittlung an Meta Platforms, Inc. in die USA stattfinden. Meta stützt sich dafür nach eigenen Angaben (Meta European Data Transfer Addendum) auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Meta Platforms, Inc. zertifiziert ist, und behält sich andere anerkannte Übermittlungswege wie Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vor. Für die Erhebung und Übermittlung der Event-Daten besteht mit Meta Platforms Ireland Limited eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Das Wesentliche dieser Vereinbarung, insbesondere wer welche Pflichten übernimmt und an wen Sie sich wenden können, hat Meta im Zusatz für Verantwortliche (Controller Addendum) veröffentlicht. Ihre Rechte können Sie sowohl uns als auch Meta gegenüber geltend machen (Art. 26 Abs. 3 DSGVO). Weitere Einzelheiten zur Verarbeitung durch Meta: Meta-Datenschutzrichtlinie.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft unter Datenschutz-Einstellungen widerrufen. Danach sendet die Seite keine Ereignisse mehr an Meta, das Pixel wird entfernt und wir löschen die Cookies „_fbp" und „_fbc".

24. Google Ads Conversion-Tracking (vorbereitet)

Für die Erfolgsmessung von Anzeigen in der Google-Suche haben wir das Conversion-Tracking von Google Ads vorbereitet. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google").

Derzeit findet kein Aufruf statt: Solange keine Anzeigenkampagne läuft, wird kein Google-Skript geladen, kein Cookie gesetzt und keine Verbindung zu einem Google-Server aufgebaut. Das gilt unabhängig davon, was Sie in den Datenschutz-Einstellungen auswählen: Ohne hinterlegte Kampagnenkennung bleibt das Tag ein leerer Platzhalter.

Nur bei laufender Kampagne und nur mit Einwilligung: Startet eine Kampagne, wird das Tag ausschließlich dann geladen, wenn Sie zuvor den Dienst „Google Ads" freigegeben haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Beide Bedingungen müssen zugleich erfüllt sein. Vor dem Laden wird der Google Consent Mode v2 auf „abgelehnt" gesetzt und erst mit Ihrer Freigabe auf „erteilt" gehoben. Nach Einwilligung kann Google unter anderem verarbeiten: IP-Adresse, Browser- und Geräteinformationen, die aufgerufene Seite, den Zeitpunkt, das ausgelöste Ereignis (etwa ein abgesendetes Formular) sowie Cookies zur Wiedererkennung Ihres Browsers.

Übermittlung in die Vereinigten Staaten: Dabei kann eine Übermittlung an die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA stattfinden. Google stützt sich dafür nach seinen Bedingungen für Verantwortliche (Controller-Controller Data Protection Terms) auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Google LLC zertifiziert ist. EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) gelten danach nur, wenn Google diesen Weg nicht mehr nutzt. Ein Schutzniveau, das dem europäischen in jeder Hinsicht entspricht, lässt sich für eine Drittlandübermittlung gleichwohl nicht zusichern. Einzelheiten: Google-Datenschutzerklärung und Google-Bedingungen für Werbeprodukte.

Kein Google Tag Manager, kein Google Analytics: Ein früherer Stand dieser Erklärung nannte beide Dienste. Wir setzen sie nicht ein. Es gibt auf dieser Website keinen Tag-Manager-Container und keine Google-Analytics-Messung. Das Google-Ads-Tag selbst wird von der Adresse googletagmanager.com ausgeliefert. Das ist der Auslieferungsweg dieses einen Tags und nicht der Tag-Manager als Dienst.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft unter Datenschutz-Einstellungen widerrufen (Art. 7 Abs. 3 DSGVO). Weitere Übertragungen an Google unterbleiben dann sofort.

25. Standortdaten in der mobilen App

Die Alltagora-App für Android erfasst den Standort des Geräts. Das geschieht während eines laufenden Einsatzes, den die Mitarbeiterin oder der Mitarbeiter selbst in der App startet, und darüber hinaus nur dann, wenn die Mitarbeiterin oder der Mitarbeiter es in der App ausdrücklich einschaltet: beim Anmelden und beim Öffnen der eigenen Geräteliste (siehe den Absatz „Standort in der Geräteliste (freiwillig)" am Ende dieses Abschnitts). Außerhalb dieser beiden Fälle findet keine Standorterfassung statt.

Welche Daten erfasst werden:

• Geografische Koordinaten (Breiten- und Längengrad)
• Genauigkeit der Positionsbestimmung in Metern
• Geschwindigkeit, sofern das Gerät sie meldet
• Zeitpunkt der Messung

Zweck. Die Einsatzleitung sieht die Position der im Dienst befindlichen Mitarbeitenden auf einer Karte. Das dient der Einsatzsteuerung: Fällt ein Termin aus, verzögert sich eine Tour oder tritt ein Notfall ein, kann die Disposition erkennen, wer in der Nähe ist, und kurzfristig umplanen. Die Funktion ist auf diesen Zweck ausgelegt; eine Auswertung zur Verhaltens- oder Leistungskontrolle ist technisch nicht vorgesehen, da keine Positionshistorie entsteht (siehe Speicherdauer).

Speicherdauer. Die Positionsdaten werden ausschließlich in einem flüchtigen Zwischenspeicher (Redis) vorgehalten und dort nach fünf Minuten automatisch gelöscht. Jede neue Meldung überschreibt die vorherige. Eine Speicherung in der Datenbank erfolgt nicht. Es entsteht daher kein Bewegungsprofil und keine Historie: Es lässt sich nicht nachvollziehen, wo sich eine Person zu einem früheren Zeitpunkt aufgehalten hat.

Nur bei geöffneter App. Die App fragt ausschließlich die Berechtigung für den Standortzugriff während der Nutzung an, nicht die Berechtigung für den Zugriff im Hintergrund. Ist das Gerät gesperrt oder läuft die App im Hintergrund, erhält sie von Android keine Standortdaten und übermittelt keine Position. Die Standortberechtigung kann in den Geräteeinstellungen jederzeit widerrufen werden. Die App bleibt dann mit Ausnahme der Live-Kartenanzeige nutzbar.

Rechtsgrundlage. Die Verarbeitung erfolgt im Beschäftigungsverhältnis nach § 26 Abs. 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Einsatzsteuerung und der Sicherheit der allein arbeitenden Mitarbeitenden. Die enge Zweckbindung an die aktive Schicht, der Verzicht auf jede dauerhafte Speicherung und die sichtbare Benachrichtigung während der Erfassung wahren die Interessen der Betroffenen.

Verantwortlichkeit. Für die Standortdaten der eigenen Mitarbeitenden ist der jeweilige Pflege- oder Betreuungsdienst als Arbeitgeber verantwortlich. Reinert Digital Solutions verarbeitet diese Daten als Auftragsverarbeiter auf dessen Weisung (siehe Abschnitte 10 und 18). Ob und in welchem Umfang die Funktion genutzt wird, entscheidet der jeweilige Betrieb; bestehende Mitbestimmungsrechte einer Mitarbeitervertretung sind dort zu beachten.

Widerspruchsrecht. Da die Verarbeitung auf einem berechtigten Interesse beruht, besteht das Recht, ihr nach Art. 21 DSGVO aus Gründen zu widersprechen, die sich aus der besonderen Situation der betroffenen Person ergeben. Der Widerspruch ist an den jeweiligen Arbeitgeber als verantwortliche Stelle zu richten. Unabhängig davon lässt sich die Standortberechtigung jederzeit in den Geräteeinstellungen entziehen.

Keine Weitergabe. Standortdaten werden nicht an Dritte übermittelt, nicht für Werbung genutzt und nicht mit anderen Datenquellen zusammengeführt.

Davon zu unterscheiden sind die Koordinaten von Wohn- und Einsatzadressen, die für die Tourenplanung aus den hinterlegten Anschriften ermittelt und dauerhaft gespeichert werden. Diese beschreiben Adressen, nicht den aktuellen Aufenthaltsort einer Person.

Standort in der Geräteliste (freiwillig)

Davon ebenfalls zu unterscheiden ist eine zweite, freiwillige Funktion mit einem anderen Zweck und einem anderen Empfänger. In der App gibt es eine Übersicht „Meine Geräte", in der jede Mitarbeiterin und jeder Mitarbeiter die eigenen Anmeldungen sieht. Sie beantwortet eine einzige Frage: Hat sich jemand Fremdes an meinem Konto angemeldet? Bisher steht dort nur der Ort, den die IP-Adresse vermuten lässt, und der zeigt im Mobilfunk häufig das Rechenzentrum des Anbieters statt des tatsächlichen Aufenthaltsorts.

Nur nach Einschalten. Diese Funktion ist standardmäßig aus. Nur wenn die Mitarbeiterin oder der Mitarbeiter den Schalter in der App einschaltet, meldet die App beim Anmelden und beim Öffnen der Geräteliste den Standort des Geräts. Ohne eingeschalteten Schalter wird kein Standort übertragen und keiner gespeichert.

Was gespeichert wird. Breiten- und Längengrad, die Genauigkeit der Positionsbestimmung in Metern, der Zeitpunkt der Messung sowie der daraus ermittelte Ortsname. Der Wert wird der eigenen Anmeldesitzung zugeordnet. Jede neue Meldung überschreibt die vorherige; es wird immer nur der zuletzt gemeldete Standort je Anmeldung vorgehalten. Eine Positionshistorie und damit ein Bewegungsprofil entsteht nicht.

Wer ihn sieht. Ausschließlich die Person selbst, in ihrer eigenen Geräteliste. Der Arbeitgeber sieht diesen Standort nicht. Die Übersicht, mit der die Leitung Anmeldungen verwaltet, ruft diese Angaben technisch nicht ab. Der Standort dient allein der Selbstkontrolle über die eigenen Anmeldungen und weder der Einsatzsteuerung noch einer Leistungs- oder Verhaltenskontrolle.

Adresssuche. Die Umrechnung der Koordinaten in einen Ortsnamen erfolgt mit einer auf unseren eigenen Servern betriebenen Adresssuche. Ein Drittanbieter ist nicht beteiligt, und die Koordinaten verlassen unsere Server nicht.

Rechtsgrundlage. Art. 6 Abs. 1 lit. a DSGVO, Einwilligung. Sie wird durch das Einschalten des Schalters erteilt.

Widerruf. Der Schalter lässt sich jederzeit wieder ausschalten. Damit wird die Einwilligung mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), und die bereits gespeicherten Standorte aller eigenen Anmeldungen werden im selben Schritt gelöscht. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Speicherdauer. Der Standort wird beim Ausschalten des Schalters sofort gelöscht. Unabhängig davon wird er spätestens geleert, sobald die Anmeldung abläuft, zu der er gehört (täglicher Bereinigungslauf). Anmeldungen, die abgemeldet wurden oder abgelaufen sind, entfernen wir 90 Tage danach vollständig.

26. Reichweitenmessung (Plausible Analytics, selbst gehostet)

Zur statistischen Auswertung der Nutzung unserer Website setzen wir Plausible Analytics ein. Die Software wird auf unseren eigenen Servern in Deutschland betrieben; eine Übermittlung an Dritte findet nicht statt. Es besteht kein Auftragsverarbeitungsverhältnis mit einem Analyse-Dienstleister, und es erfolgt keine Datenübermittlung in ein Drittland.

Plausible arbeitet ohne Cookies und ohne geräteübergreifendes Tracking. Ihre IP-Adresse wird nicht gespeichert: Sie wird ausschließlich kurzzeitig verarbeitet, um zusammen mit dem Browsertyp einen täglich wechselnden, nicht rückrechenbaren Prüfwert zu bilden, mit dem wiederkehrende Seitenaufrufe innerhalb eines Tages erkannt werden. Dieser Wert wird spätestens nach 24 Stunden durch einen neuen ersetzt; der bisherige Wert wird noch bis zu 24 weitere Stunden vorgehalten, damit Aufrufe über den Tageswechsel hinweg zusammengehörig bleiben, und danach endgültig gelöscht. Ein Rückschluss auf Ihre Person ist über diesen Wert nicht möglich.

Ohne Ihre Einwilligung werden je Seitenaufruf ausschließlich folgende Angaben erfasst: aufgerufene Seite ohne die daran angehängten Parameter, mit Ausnahme der vier Kampagnenkennungen utm_source, utm_medium, utm_campaign und utm_content, die eine Anzeige benennen und nicht die Person (die fünfte übliche Kennung utm_term trägt den Suchbegriff und wird verworfen), verweisende Seite (Referrer) ebenfalls ohne Parameter, Browser und dessen Versionsnummer, Betriebssystem und dessen Versionsnummer, die Größenklasse Ihres Bildschirms sowie das Land. Weitere Angaben nimmt unser Server nicht entgegen: Er baut die Meldung aus genau diesen Feldern neu auf und verwirft alles andere, bevor es gespeichert wird. Auch Felder, die eine künftige Version des Zählprogramms hinzufügen würde. Diese Angaben werden nicht von Ihrem Gerät abgefragt, sondern aus der Kennung abgeleitet, die Ihr Browser bei jedem Seitenaufruf ohnehin mitsendet. Ausgewertet werden sie nur zusammengefasst als Zugriffsstatistik. Ohne Ihre Einwilligung erfassen wir weder Verweildauer noch Scroll-Tiefe und kein benanntes Ereignis, das Ihrem Besuch zugeordnet wäre: Solange Sie den Dienst „Plausible-Interaktion" nicht freigegeben haben, verwirft unser Server entsprechende Meldungen, bevor sie gespeichert werden. Zwei Dinge nehmen wir davon ausdrücklich aus, beide ohne Zugriff auf Ihr Endgerät:

• Tageszähler je Ereignisname. Von den unten aufgezählten Vorgängen führen wir eine reine Strichliste: gespeichert werden der Kalendertag, der Name des Vorgangs, die angezeigte Seitenvariante und die Anzahl. Mehr nicht: keine Kennung, keine Adresse, kein Zeitpunkt innerhalb des Tages und nichts, was diese Zählung mit Ihrem Besuch oder mit einem anderen Vorgang verbinden könnte. Aus einer solchen Zahl lässt sich nicht ablesen, wer sie erzeugt hat, auch von uns nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran zu wissen, welche Inhalte unserer Website genutzt werden). Eine Speicherfrist gibt es dafür nicht, weil die Zählwerte keinen Personenbezug haben. Nicht mitgezählt werden Verweildauer und Scroll-Tiefe: die bleiben der zweiten Stufe vorbehalten.
• Anzeige des Einwilligungsbanners. Erscheint Ihnen das Banner mit der Frage nach Ihrer Einwilligung, zählen wir diesen einen Vorgang mit. Wir erfassen ihn wie einen Seitenaufruf, also mit denselben Angaben wie in der ersten Stufe und ohne weitere Eigenschaften. Er wird einmal je Anzeige gezählt, nicht bei jedem Seitenwechsel. Zweck ist ausschließlich, unsere Einwilligungsquote bilden zu können: ohne diesen Zähler wissen wir nur, wie viele Menschen entschieden haben, nicht wie viele gefragt wurden. Es wird dabei nichts auf Ihrem Endgerät gespeichert und nichts von dort ausgelesen; auch dass Sie das Banner bereits gesehen haben, merken wir uns nur, solange die Seite geöffnet bleibt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, dieselbe wie für den Seitenaufruf.

Eine Identifizierung einzelner Besucherinnen und Besucher ist nicht möglich, und es werden keine Profile gebildet. Eine Standortermittlung anhand der IP-Adresse findet bei uns nicht statt; das entsprechende Modul ist deaktiviert.

Rechtsgrundlage der ersten Stufe: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Verbesserung unseres Angebots und an der statistischen Auswertung der Zugriffe). Für die Messung selbst werden keine Informationen auf Ihrem Endgerät gespeichert und keine Merkmale zu Ihrer Wiedererkennung ausgelesen, eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich. Das Zählskript prüft lediglich zwei technische Schalter, die dem Unterlassen der Messung dienen (siehe unten den Absatz „Zugriffe auf Ihr Endgerät").

Mit Ihrer Einwilligung zusätzlich: Geben Sie in den Datenschutz-Einstellungen den Dienst „Plausible-Interaktion" frei, erfasst dieselbe Messung zusätzlich Ihre Verweildauer auf einer Seite, die erreichte Scroll-Tiefe sowie benannte Ereignisse. Aus den Seitenaufrufen eines Besuchs ergibt sich damit auch, wie viele Seiten Sie innerhalb eines Besuchs angesehen haben. Auch diese Stufe kommt ohne Cookie aus: Es wird nichts auf Ihrem Endgerät gespeichert und nichts von dort ausgelesen.

Benannt heißt: Wir zählen ausschließlich die folgenden, abschließend festgelegten Vorgänge. Was hier nicht steht, nimmt unser Server nicht entgegen. Alle bis auf den ersten gehen zusätzlich in den einwilligungsfreien Tageszähler ein, der weiter oben beschrieben ist; Verweildauer und Scroll-Tiefe tun das nicht und setzen ausnahmslos Ihre Einwilligung voraus. Ein Punkt der Liste entsteht nicht in Ihrem Browser, sondern auf unserem Server: „Zahlung abgeschlossen" zählen wir, sobald eine Testphase eines Kundenkontos in einen bezahlten Tarif übergeht. Dieser Punkt erreicht ausschließlich den Tageszähler, wird der Reichweitenmessung nicht gemeldet und setzt keine Einwilligung voraus, weil dabei weder etwas auf einem Endgerät gespeichert noch von dort ausgelesen wird. Gespeichert werden auch hier nur Kalendertag, Name des Vorgangs, Seitenvariante und Anzahl, also weder Konto noch Tarif noch Betrag.

• Verweildauer und Scroll-Tiefe einer Seite
• Klick auf eine Handlungsaufforderung (Schaltfläche)
• Demo angefragt
• Demo-Termin gebucht
• Kontaktformular gesendet
• Newsletter abonniert
• Rechner genutzt
• PDF heruntergeladen
• Reiter auf der Preisseite gewechselt
• Frage im Fragen-und-Antworten-Bereich geöffnet
• Video gestartet
• Einrichtung begonnen
• Einrichtung abgeschlossen
• Zahlung abgeschlossen (Testphase in bezahlten Tarif umgewandelt)
• Klick auf einen Link zu einer fremden Website
• Datei heruntergeladen
• Aufruf einer nicht vorhandenen Seite
• Bedienung des Rechners im Kopfbereich der Startseite
• Klick auf „Demo ansehen" im Kopfbereich der Startseite
• Abruf der Auswertung des Wirtschaftlichkeitsrechners als PDF
• Abruf der Auswertung des Entlastungsbetrags-Rechners als PDF

Zu jedem dieser Ereignisse speichern wir höchstens fünf Eigenschaften, ebenfalls abschließend festgelegt: den betroffenen Tarif (plan), die angezeigte Seitenvariante (variante), die Herkunft eines Klicks (quelle), den Seitenabschnitt (abschnitt) und das Ziel eines Klicks (ziel). Bei „Klick auf einen Link zu einer fremden Website" speichern wir vom Ziel nur den Hostnamen und nicht die vollständige Adresse. Bei „Datei heruntergeladen" speichern wir nur die Dateiendung. Freitexte, Eingaben aus Formularen und Suchbegriffe werden nicht erfasst, und jeder Wert ist auf 100 Zeichen begrenzt.

Rechtsgrundlage dieser zweiten Stufe: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Wir holen sie ein, weil diese Messung über die reine Zählung von Seitenaufrufen hinausgeht, und folgen damit der Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste, Version 1.2, Stand November 2024, Rn. 88 bis 90). Sie können die Einwilligung jederzeit und ohne Angabe von Gründen unter Datenschutz-Einstellungen widerrufen (Art. 7 Abs. 3 DSGVO), so einfach wie Sie sie erteilt haben. Die Speicherdauer bleibt auch für diese Stufe bei 14 Monaten.

Speicherdauer: Der täglich wechselnde Prüfwert, mit dem wiederkehrende Aufrufe innerhalb eines Tages erkannt werden, wird spätestens nach 48 Stunden endgültig gelöscht. Danach lassen sich die gespeicherten Aufrufe keiner Sitzung und keinem Gerät mehr zuordnen, auch von uns nicht. Die gespeicherten Zugriffsdaten werden nach 14 Monaten automatisch gelöscht. Diese Dauer erlaubt uns den Vergleich mit dem jeweiligen Vorjahresmonat; darüber hinaus benötigen wir die Daten nicht.

Zugriffe auf Ihr Endgerät: Das Zählskript liest zwei technische Angaben aus Ihrem Browser: die Kennzeichnung plausible_ignore im lokalen Speicher, mit der sich die Messung dauerhaft abschalten lässt, sowie das Merkmal navigator.webdriver, an dem automatisierte Zugriffe erkannt und von der Zählung ausgenommen werden. Beide Zugriffe dienen ausschließlich dazu, Aufrufe nicht zu erfassen; sie sind für den gewünschten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Unabhängig von der Messung legt der Registrierungsassistent unter alltagora_onboarding_state_v1 Ihre bereits ausgefüllten Angaben im Sitzungsspeicher Ihres Browsers ab, damit sie beim Zurückblättern und nach einem versehentlichen Neuladen erhalten bleiben. Passwörter sind davon ausgenommen. Der Eintrag wird gelöscht, sobald die Registrierung abgeschlossen ist, spätestens beim Schließen des Browser-Tabs. Er ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), Einzelheiten in Ziffer 32.

Widerspruch: Sie können der Reichweitenmessung jederzeit über die in Ziffer 7 genannten Wege widersprechen. Zusätzlich unterbinden Sie die Erfassung selbst, indem Sie in Ihrem Browser die Einstellung „Do Not Track" aktivieren oder einen Inhaltsblocker verwenden. Unser Server verwirft entsprechend gekennzeichnete Aufrufe, bevor sie gespeichert werden.

27. Kontaktaufnahme über WhatsApp

Sie können uns zusätzlich über den Messenger WhatsApp erreichen. Anbieter ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, ein Unternehmen der Meta-Unternehmensgruppe. Die Nutzung dieses Weges ist freiwillig. Gleichwertig erreichen Sie uns per E-Mail, telefonisch, über unser Kontaktformular und über den Chat auf dieser Website. Keiner dieser Wege setzt ein Konto bei einem Messenger-Anbieter voraus.

Welche Daten bei uns anfallen: Schreiben Sie uns über WhatsApp, verarbeiten wir Ihre Telefonnummer, den von Ihnen gewählten Profilnamen, gegebenenfalls Ihr Profilbild sowie Inhalt und Zeitpunkt Ihrer Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen unser berechtigtes Interesse daran, Anfragen auf dem von Ihnen selbst gewählten Weg zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Verschlüsselung und Verbindungsdaten: WhatsApp verschlüsselt die Inhalte Ihrer Nachrichten Ende zu Ende, sodass der Anbieter sie nicht mitlesen kann. Unabhängig davon fallen beim Anbieter Verbindungsdaten an, unter anderem Ihre Telefonnummer, Geräte- und Verbindungsangaben sowie Zeitpunkt, Häufigkeit und Dauer der Nutzung. Auf diese Verarbeitung haben wir keinen Einfluss. Sie erfolgt in eigener Verantwortung des Anbieters nach dessen Datenschutzrichtlinie für den Europäischen Wirtschaftsraum. Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO haben wir mit dem Anbieter für diesen Kanal nicht geschlossen.

Übermittlung in die Vereinigten Staaten: Der Anbieter gibt Daten innerhalb der Meta-Unternehmensgruppe weiter, auch an die Meta Platforms, Inc. in den Vereinigten Staaten. Für Übermittlungen an die WhatsApp LLC und die Meta Platforms, Inc. in den Vereinigten Staaten stützt sich der Anbieter nach seiner Datenschutzrichtlinie für den Europäischen Wirtschaftsraum auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem beide Gesellschaften zertifiziert sind. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nutzt er für Übermittlungen an Messenger-Dienste Dritter, mit denen WhatsApp verbunden ist, sowie in die Vereinigten Staaten, nach Großbritannien und nach Singapur. Ein Schutzniveau, das dem europäischen in jeder Hinsicht entspricht, lässt sich für eine Drittlandübermittlung gleichwohl nicht zusichern. Möchten Sie das vermeiden, nutzen Sie bitte einen der übrigen Kontaktwege.

Bitte keine Gesundheits- und Klientendaten: Senden Sie uns über WhatsApp keine Gesundheitsdaten, keine Klienten- oder Pflegedaten und keine sonstigen besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO. Nutzen Sie für solche Anliegen bitte unser Support-System (Ziffer 12) oder den Postweg.

Speicherung und Löschung: Ihre Nachricht liegt auf dem Endgerät, mit dem wir diesen Kanal bedienen. Wir löschen den Verlauf, sobald Ihr Anliegen abschließend bearbeitet ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Wird aus Ihrer Anfrage ein Support-Vorgang, übertragen wir den sachlich erforderlichen Inhalt in unser Ticket-System. Ab diesem Zeitpunkt gelten die Fristen aus Ziffer 12.2. Der Nutzung dieses Kanals können Sie jederzeit widersprechen, Ihre Rechte aus Ziffer 7 bleiben unberührt.

28. Nutzungsanalyse mit Einwilligung (Matomo, selbst gehostet)

Zusätzlich zur Reichweitenmessung aus Ziffer 26 setzen wir Matomo ein, eine Analyse-Software, die wir auf unserem eigenen Server in Deutschland betreiben, auf unserem Server bei der 24fire GmbH (Ziffer 4). Die erhobenen Daten verlassen unsere Infrastruktur nicht. Es ist kein Analyse-Dienstleister beteiligt, es besteht deshalb auch kein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO über die Analyse selbst, und es findet keine Übermittlung in ein Drittland statt. Für den Betrieb der Server gelten unverändert die in Ziffer 4 genannten Auftragsverarbeiter (24fire GmbH für den Server, Hetzner Online GmbH für die verschlüsselte Datensicherung), mit denen jeweils ein Vertrag nach Art. 28 DSGVO besteht.

Nur mit Einwilligung: Matomo wird ausschließlich geladen, wenn Sie den Dienst „Matomo" in den Datenschutz-Einstellungen freigegeben haben. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, für das Speichern und spätere Auslesen der drei Cookies zusätzlich § 25 Abs. 1 TDDDG. Ohne diese Freigabe wird kein Skript geladen und kein Cookie gesetzt. Ihre Entscheidung gilt nur für diesen Dienst, die übrigen Dienste bleiben davon unberührt.

Cookies: Nach Ihrer Freigabe setzt Matomo drei Cookies auf Ihrem Endgerät, alle mit den Standardlaufzeiten der Software:

• _pk_id, Laufzeit 13 Monate: enthält eine zufällige Besucher-Kennung und erkennt daran wiederkehrende Besuche
• _pk_ses, Laufzeit 30 Minuten: hält die Aufrufe eines einzelnen Besuchs zusammen
• _pk_ref, Laufzeit rund 6 Monate: merkt sich, woher Sie beim ersten Mal gekommen sind (verweisende Seite oder Kampagne), damit ein späterer Besuch derselben Herkunft zugeordnet werden kann

Alle drei Cookies werden von unserer eigenen Domain gesetzt und nicht an Dritte übertragen.

Was erfasst wird: aufgerufene Seiten und deren Titel, Zeitpunkt und Verweildauer, die benannten Ereignisse aus Ziffer 26, Klicks auf Links zu fremden Websites, heruntergeladene Dateien, die verweisende Seite (Referrer), die vier Kampagnenkennungen utm_source, utm_medium, utm_campaign und utm_content sowie Browser, Betriebssystem, Gerätetyp und Bildschirmgröße.

IP-Adresse: Ihre IP-Adresse wird vor der Speicherung um zwei Byte gekürzt. Aus 198.51.100.123 wird also 198.51.0.0. Die Kürzung geschieht im Arbeitsspeicher, bevor die Daten in die Datenbank geschrieben werden. Eine vollständige IP-Adresse wird nicht gespeichert. Auch die Auswertungen, die Matomo aus der IP-Adresse ableiten könnte, arbeiten bei uns mit der bereits gekürzten Fassung.

Keine Standortbestimmung: Es findet weder eine Standortermittlung anhand Ihrer IP-Adresse statt noch eine Schätzung Ihres Herkunftslandes aus der Spracheinstellung Ihres Browsers. Beides ist abgeschaltet: Es ist keine Geo-Datenbank hinterlegt, und die Standortbestimmung ist in der Software vollständig deaktiviert. Land, Region und Stadt bleiben in unseren Auswertungen unbestimmt.

Do Not Track wird beachtet: Haben Sie in Ihrem Browser die Einstellung „Do Not Track" aktiviert, misst Matomo nicht, auch dann nicht, wenn Sie den Dienst zuvor freigegeben haben.

Keine Aufzeichnung Ihrer Sitzung: Wir zeichnen weder Mausbewegungen noch Tastatureingaben noch Bildschirminhalte auf und erstellen keine Heatmaps. Die dafür nötigen Zusatzmodule sind nicht installiert.

Nicht im angemeldeten Bereich: Matomo läuft ausschließlich auf den öffentlichen Seiten dieser Website. Im Dashboard, im Angehörigen-Portal, in den Verwaltungsbereichen und in der mobilen Anwendung wird es nicht geladen. Zur Nutzungsmessung innerhalb der Anwendung siehe Ziffer 29.

Speicherdauer: Die einzelnen Besuchsdaten (Rohdaten) löschen wir automatisch nach 425 Tagen, also nach rund 14 Monaten. Diese Dauer erlaubt den Vergleich mit dem jeweiligen Vorjahresmonat. Die daraus gebildeten zusammengefassten Berichte enthalten keinen Personenbezug mehr und bleiben erhalten.

Widerruf: Sie können die Einwilligung in diesen Dienst jederzeit einzeln unter Datenschutz-Einstellungen widerrufen (Art. 7 Abs. 3 DSGVO), so einfach wie Sie sie erteilt haben. Ab dem Widerruf werden keine weiteren Daten erhoben. Die bereits gesetzten Cookies können Sie zusätzlich in Ihrem Browser löschen.

29. Nutzungsdaten in der Anwendung (Produkt-Telemetrie)

Innerhalb der angemeldeten Anwendung, also im Dashboard und in der mobilen Anwendung, messen wir, welche Funktionen genutzt werden. Für diese Verarbeitung sind wir selbst Verantwortlicher und nicht Auftragsverarbeiter des Pflege- oder Betreuungsdienstes (zur Abgrenzung siehe Ziffer 18). Zweck ist der sichere Betrieb und die Weiterentwicklung des Dienstes: Wir wollen erkennen, welche Funktionen tatsächlich gebraucht werden, an welcher Stelle Vorgänge abbrechen und welche Bereiche Last erzeugen.

Was erfasst wird:

• ein Pseudonym anstelle Ihrer Benutzerkennung: ein nicht rückrechenbarer Prüfwert, gebildet aus Ihrer Benutzerkennung und einem geheimen Zufallswert, den jeder Mandant für sich hat und der alle 90 Tage gewechselt wird. Über zwei Mandanten hinweg ist dieselbe Person damit nicht wiedererkennbar, und nach dem Wechsel endet die Verkettbarkeit auch innerhalb eines Mandanten.
• das Muster der aufgerufenen Seite oder Schnittstelle, wobei enthaltene Kennungen ersetzt werden: aus /dashboard/klienten/1418 wird /dashboard/klienten/:id
• der Funktionsschlüssel des aufgerufenen Bereichs, etwa Tourenoptimierung oder ein bestimmter Einstellungsbereich
• Geschäftsereignisse ohne Inhalte: dass eine Anmeldung stattgefunden hat, ein Klient angelegt, ein Einsatz geplant, ein Leistungsnachweis oder eine Rechnung erstellt, eine Tour optimiert, ein Export erzeugt, eine Sprachaufnahme gemacht oder die Einrichtung abgeschlossen wurde. Dazu speichern wir nur Kategorien und Zähler: bei der Anmeldung Ihre Rolle (etwa Büro oder Pflegekraft), sonst einen Status, eine Art oder eine Anzahl.
• beim Wechsel des Tarifs zusätzlich den bisherigen und den neuen Tarifnamen sowie den Abrechnungszeitraum. Dieses Ereignis wird ohne Pseudonym gespeichert, weil der Wechsel vom Anbieter ausgelöst wird und nicht von Ihnen.
• die Plattform (Web-Oberfläche, App oder Server) und der Zeitpunkt

Was nicht erfasst wird: keine Klientendaten, keine Gesundheitsdaten, keine Namen, keine Adressen, keine Freitexte aus Formularen und keine Inhalte von Dokumenten oder Sprachaufnahmen. Es wird nichts in Ihrem Browser gespeichert, weder ein Cookie noch ein Eintrag im lokalen Speicher. Es wird nichts aufgezeichnet, weder Bildschirminhalte noch Mausbewegungen noch Tastatureingaben. Kein Dritter ist beteiligt, die Daten bleiben auf unseren Servern in Deutschland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere Betrieb und die bedarfsgerechte Weiterentwicklung einer Fachanwendung: Ohne diese Messung wäre nicht erkennbar, welche Funktionen ausfallen oder ins Leere laufen. Ihr gegenläufiges Interesse haben wir berücksichtigt, indem statt Ihrer Benutzerkennung ein alle 90 Tage wechselndes Pseudonym gespeichert wird und keine Inhalte erfasst werden. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist nicht erforderlich: Für diese Messung wird nichts auf Ihrem Endgerät gespeichert, und es werden keine Merkmale zu Ihrer Wiedererkennung ausgelesen. Der Versand beim Verlassen einer Seite liest lediglich das Anmelde-Token, das Ihre Sitzung ohnehin im Browser hält, um das Paket überhaupt zuordnen zu dürfen.

Speicherdauer: 90 Tage ab der Erfassung, danach werden die Einträge automatisch gelöscht.

Widerspruch: Der Pflege- oder Betreuungsdienst, für den Sie tätig sind, kann die Nutzungsanalyse für seinen gesamten Mandanten unter Einstellungen und dort im Bereich Datenschutz mit der Einstellung „Nutzungsanalyse" abschalten. Ab diesem Zeitpunkt wird für keine Nutzerin und keinen Nutzer dieses Mandanten mehr etwas erfasst. Unabhängig davon können Sie dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Die Kontaktwege stehen in Ziffer 15.

30. Öffnungs- und Klickmessung in unseren E-Mails

Öffnungsmessung

Haben Sie der Öffnungsmessung zugestimmt, betten wir in unsere E-Mails an Sie ein Zählpixel ein: ein 1 mal 1 Pixel großes, durchsichtiges Bild, das Ihr E-Mail-Programm von unserem Server abruft, sobald es die Nachricht anzeigt. An diesem Abruf erkennen wir, dass die E-Mail geöffnet wurde. Bis zum 2. September 2026 gab es diese Messung nur im Newsletter. Seit dem 2. September 2026 können Sie uns die Messung auch für unsere übrigen E-Mails an Sie erlauben. Diese Erlaubnis holen wir gesondert ein.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Für den Abruf des Zählpixels von Ihrem Endgerät aus stützen wir uns zusätzlich auf § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung findet keine Messung statt: E-Mails an Sie enthalten dann kein Zählpixel. Die Voreinstellung ist aus. Wir gehen nicht von einer stillschweigenden Zustimmung aus, und wir stützen diese Messung ausdrücklich nicht auf ein berechtigtes Interesse.

Wie wir Sie fragen und wie Sie selbst entscheiden: Von uns aus fragen wir nur im Kundenkonto. Haben Sie eines, fragen wir Sie dort einmalig im Dashboard, ob wir messen dürfen. Ihre Antwort speichern wir zusammen mit dem Wortlaut, den Sie dabei gelesen haben, und fragen danach nicht erneut. Wir fragen Sie nicht per E-Mail und nicht auf anderem Weg.

Unabhängig davon können Sie selbst entscheiden: Über den Link in der Fußzeile jeder gemessenen E-Mail gelangen Sie ohne Anmeldung auf Ihre E-Mail-Einstellungen. Dort können Sie die Öffnungsmessung erlauben oder beenden, beides mit einem Schalter und in beide Richtungen gleich einfach. Haben Sie noch nie eingewilligt, enthalten unsere E-Mails an Sie kein Zählpixel. Den Link zu Ihren E-Mail-Einstellungen finden Sie trotzdem in jeder E-Mail, in der wir Links messen. Diese Klickmessung ist von der Öffnungsmessung getrennt und läuft auch ohne Ihre Einwilligung, Einzelheiten weiter unten.

Die Einwilligung zum Newsletter genügt dafür nicht: Eine nach Ziffer 20 erteilte Erfolgsmessung gilt allein für den Newsletter, auch ohne Kundenkonto. Für alle anderen E-Mail-Arten fragen wir gesondert, weil eine Einwilligung nur so weit reicht wie der Zweck, für den sie erteilt wurde.

Zweck: Wir wollen erstens sehen, ob unsere E-Mails ihre Empfänger überhaupt erreichen. Eine Rechnung oder eine Terminerinnerung, die im Spam-Ordner landet, fällt sonst niemandem auf. Zweitens wollen wir erkennen, welche unserer Nachrichten verständlich sind und welche ins Leere laufen, um unsere Kundenkommunikation zu verbessern.

Was gespeichert wird: der Zeitpunkt des Abrufs, ein Pseudonym Ihrer IP-Adresse und die Kennung Ihres E-Mail-Programms oder Browsers, auf 255 Zeichen begrenzt. Die IP-Adresse wird nicht gekürzt und nicht im Klartext gespeichert, sondern durch einen Prüfwert ersetzt, den wir mit einem geheimen, gleichbleibenden Schlüssel bilden (HMAC-SHA256). Aus diesem Wert lässt sich die Adresse nicht zurückrechnen. Weil der Schlüssel gleich bleibt, ergibt dieselbe IP-Adresse denselben Wert: zwei Abrufe aus demselben Anschluss sind also als zusammengehörig erkennbar, solange der Eintrag besteht. Nach 90 Tagen wird er gelöscht. Der Inhalt der E-Mail wird durch den Abruf nicht übertragen.

Grenzen der Aussagekraft: Apple Mail und iCloud Mail rufen eingebettete Bilder seit der Mail Privacy Protection von sich aus über Apple-Server ab, unabhängig davon, ob Sie die Nachricht wirklich gelesen haben. Auch die Sicherheitsprüfung mancher Mailserver lädt Bilder vorab. Eine gezählte Öffnung ist deshalb ein Anhaltspunkt und kein Nachweis, dass Sie eine bestimmte E-Mail gelesen haben. Wir werten diese Zahlen nur als Tendenz über viele Nachrichten hinweg aus.

Nie bei Sicherheits-E-Mails: E-Mails mit Einmalcodes, mit einem Link zum Zurücksetzen des Passworts und mit Sicherheitshinweisen zu Ihrem Konto enthalten kein Zählpixel, auch dann nicht, wenn Sie der Messung zugestimmt haben. Dasselbe gilt für unsere Antworten auf Anfragen zum Datenschutz, etwa auf ein Auskunftsersuchen nach Art. 15 DSGVO. Bei diesen Nachrichten besteht kein Auswertungsinteresse.

Widerruf (Art. 7 Abs. 3 DSGVO): Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen widerrufen, so einfach wie Sie sie erteilt haben. Sind Sie angemeldet, finden Sie den Schalter in Ihrem Profil unter den E-Mail-Einstellungen. Unabhängig davon steht in der Fußzeile jeder E-Mail mit Zählpixel derselbe Link, über den Sie die Messung auch erlauben können. Der Link enthält bereits Ihre Kennung, Sie brauchen sich also nicht anzumelden. Der Widerruf wirkt für die Zukunft, die Rechtmäßigkeit der bis dahin erfolgten Messung bleibt unberührt. Sie erreichen uns dafür auch über die Kontaktwege in Ziffer 15. Unabhängig davon können Sie den Abruf selbst unterbinden, indem Sie in Ihrem E-Mail-Programm das automatische Laden externer Bilder abschalten.

Klickmessung in unseren E-Mails

Getrennt von der Öffnungsmessung erfassen wir, welche Links in unseren E-Mails angeklickt werden. Dafür ersetzen wir die Adresse eines Links durch eine Zwischenadresse auf unserem eigenen Server, die den Klick vermerkt und Sie unmittelbar auf das eigentliche Ziel weiterleitet. Der Link führt also genau dorthin, wo er es ohne diese Zwischenstation auch täte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Zustellkontrolle und die Verbesserung unserer E-Mails. Anders als bei der Öffnungsmessung fragen wir dafür nicht um Erlaubnis, und das hat einen Grund: Ein Klick ist eine Handlung, die Sie selbst vornehmen, und kein Zugriff auf Ihr Endgerät. Es wird dabei nichts auf Ihrem Gerät gespeichert und nichts von dort ausgelesen, § 25 TDDDG ist deshalb nicht berührt. Diese Messung läuft, seit wir E-Mails mit Links versenden.

Was gespeichert wird: der Zeitpunkt des Klicks, dieselben Angaben wie bei der Öffnungsmessung (Pseudonym der IP-Adresse, Kennung des Programms) und die laufende Nummer des angeklickten Links innerhalb der E-Mail. Nicht gespeichert wird, wohin ein Link führt, der nicht von uns stammt.

Nie bei Sicherheits-E-Mails: In E-Mails mit Einmalcodes, Passwort-Links und Sicherheitshinweisen sowie in unseren Antworten auf Datenschutz-Anfragen schreiben wir keine Links um. Auch in allen übrigen E-Mails bleiben Links zum Zurücksetzen des Passworts, Bestätigungslinks und Abmeldelinks unverändert.

Maschinelle Aufrufe: Die Sicherheitsprüfung mancher Mailserver ruft nach der Zustellung alle Links einer Nachricht auf. Solche Aufrufe erkennen wir daran, dass mehrere verschiedene Links derselben E-Mail innerhalb weniger Sekunden oder innerhalb der ersten Minute nach dem Versand abgerufen werden, und werten sie nicht als Klick.

Widerspruch (Art. 21 Abs. 1 DSGVO): Sie können der Klickmessung jederzeit widersprechen, ohne Gründe zu nennen. Der Link in der Fußzeile jeder gemessenen E-Mail führt auf dieselbe Seite wie beim Widerruf der Öffnungsmessung, dort steht ein eigener Schalter dafür. Ab dem Widerspruch schreiben wir in E-Mails an diese Adresse keine Links mehr um. Sie erreichen uns dafür auch über die Kontaktwege in Ziffer 15.

Speicherdauer: Öffnungs-Ereignisse löschen wir 90 Tage nach ihrer Entstehung. Für Klick-Ereignisse gilt dieselbe Frist von 90 Tagen, gerechnet ab dem Klick. Beide Fristen laufen unabhängig voneinander ab.

31. Sicherheitshinweise und Bestätigung neuer Anmeldungen

Ein gestohlenes Passwort allein soll nicht genügen, um in ein Konto zu gelangen. Deshalb prüfen wir bei jeder Anmeldung, ob wir das Gerät kennen, und melden uns bei Ihnen, wenn etwas ungewöhnlich ist.

Was dabei verarbeitet wird

Bei jeder Anmeldung fallen an: der Zeitpunkt, die Art des Geräts und des Browsers (die Kennung, die Ihr Programm von sich aus mitsendet, auf 160 Zeichen gekürzt), Ihre IP-Adresse sowie ein daraus abgeleiteter ungefährer Ort und das Land.

Zur IP-Adresse: Gespeichert wird sie nicht im Klartext, sondern als Prüfwert, den wir aus der Adresse und einem geheimen, gleichbleibenden Zusatzwert bilden (SHA-256, auf 32 Zeichen gekürzt). Aus diesem Wert lässt sich die Adresse nicht zurückrechnen. Weil der Zusatzwert gleich bleibt, ergibt dieselbe Adresse denselben Prüfwert: zwei Anmeldungen aus demselben Anschluss sind also als zusammengehörig erkennbar, solange die Einträge bestehen. In der E-Mail an Sie steht die Adresse vollständig, wenn es um eine Anmeldung an Ihrem eigenen Konto geht: nur so können Sie erkennen, ob Sie das selbst waren. Bei der Hinweismail zum ausbleibenden Zwei-Faktor-Code zeigen wir die Adresse dagegen nur bis zum Netzanteil gekürzt an, weil mehr davon auch bei uns nicht gespeichert ist.

Zum Ort: Ort und Land ermitteln wir aus einer Datenbank auf unserem eigenen Server. Ihre Adresse verlässt dafür unseren Server nicht, es ist kein Dienstleister beteiligt und es findet keine Abfrage bei Dritten statt. Die Angabe ist ein Anhaltspunkt und kein Nachweis: sie zeigt den Standort des Netzzugangs, nicht Ihren.

Anmeldung auf einem unbekannten Gerät

Melden Sie sich auf einem Gerät an, für das noch nie eine Freigabe erteilt wurde, entsteht zunächst keine Sitzung, auch wenn das Passwort stimmt. Betroffen sind Konten ohne Zwei-Faktor-Anmeldung, weil der zweite Faktor an die Stelle der Bestätigung tritt. Seit dem 3. September 2026 gilt das in allen vier Oberflächen gleich: im Dashboard, in der mobilen Oberfläche, in der App und im Betreiber-Panel. Wer eine Zwei-Faktor-Anmeldung eingerichtet hat, gibt überall stattdessen seinen Code ein. Sie erhalten stattdessen eine E-Mail mit den oben genannten Angaben und zwei Schaltflächen: eine gibt die Anmeldung frei, die andere lehnt sie ab. Erst nach der Freigabe werden Sie angemeldet, und zwar ausschließlich in dem Browser, der die Anmeldung begonnen hat. Der Freigabelink gilt 15 Minuten, der Ablehnungslink noch 24 Stunden, damit ein versehentlich erteiltes Ja zurückgenommen werden kann.

Lehnen Sie ab, beenden wir sofort alle Sitzungen des Kontos, entziehen alle bisher freigegebenen Geräte und fordern Sie auf, ein neues Passwort zu setzen. Darüber informiert Sie eine weitere E-Mail.

Unsere drei Sicherheits-E-Mails

• „Neue Anmeldung bestätigen": bei einer Anmeldung von einem unbekannten Gerät, in allen vier Oberflächen nur bei Konten ohne Zwei-Faktor-Anmeldung. Ohne Ihren Klick entsteht keine Sitzung. Ausgenommen sind Konten ohne eigenes Postfach, die sich über einen Benutzernamen anmelden; für sie entsteht die Sitzung ohne Bestätigung.
• „Jemand hat versucht, sich anzumelden": bei einem Konto mit Zwei-Faktor-Anmeldung, wenn nach dem richtigen Passwort der zweite Code nicht innerhalb einer Minute eingegeben wird. Ein solcher Versuch bleibt sonst unsichtbar, weil er weder als Fehlversuch noch als Anmeldung zählt. Höchstens eine solche Nachricht je Konto und Viertelstunde.
• „Konto gesichert": nach einer Ablehnung, mit dem Hinweis, was wir gesperrt haben und wie Sie Ihr Passwort neu setzen.

Unabhängig davon informieren wir Sie seit jeher über eine Anmeldung von einem neuen Gerät oder einer neuen Adresse, wenn Ihr Konto eine Zwei-Faktor-Anmeldung nutzt oder das Gerät bereits freigegeben war. Auch dieser Hinweis gehört zu den hier beschriebenen Verarbeitungen.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Sicherheit der Konten und der darin liegenden Daten, zu der uns Art. 32 DSGVO ausdrücklich verpflichtet. Für Konten, die zu einem Vertrag mit uns gehören, stützen wir die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO: ein sicherer Zugang ist Teil der Leistung, die wir schulden. Das Speichern der beiden Cookies aus Ziffer 5 stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG, weil sie für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Eine Einwilligung holen wir dafür nicht ein, und Sie können die Bestätigung auch nicht abwählen: sie ist keine Zusatzleistung, sondern die Absicherung des Zugangs selbst.

Widerspruch (Art. 21 Abs. 1 DSGVO)

Sie können dieser Verarbeitung widersprechen. Den Sicherheits-E-Mails können wir dabei nicht abhelfen. Nach Art. 21 Abs. 1 Satz 2 DSGVO endet eine auf berechtigtes Interesse gestützte Verarbeitung dann nicht, wenn wir zwingende schutzwürdige Gründe nachweisen können, die Ihre Interessen überwiegen. Das ist hier der Fall: die Nachrichten sind das einzige Mittel, mit dem Sie von einem fremden Zugriff auf Ihr Konto erfahren, und wir dürfen den Schutz Ihrer Daten nicht davon abhängig machen. Wollen Sie die Bestätigung bei jeder Anmeldung nicht mehr, richten Sie die Zwei-Faktor-Anmeldung ein: Konten mit zweitem Faktor geben statt der Bestätigung ihren Code ein und melden sich damit unmittelbar an. Das gilt in allen vier Oberflächen gleich, im Dashboard ebenso wie in der mobilen Oberfläche, in der App und im Betreiber-Panel. Sie finden die Einstellung im Dashboard unter Einstellungen und Sicherheit.

Ihre Kontrolle über freigegebene Geräte

Unter Einstellungen und Sicherheit sehen Sie, für wie viele Geräte derzeit eine Freigabe besteht, und können alle Geräte auf einmal entziehen. Danach muss jede Anmeldung wieder per E-Mail bestätigt werden. Ihre laufende Sitzung bleibt dabei bestehen.

Speicherdauer

• Freigegebene Geräte (Prüfwert der Gerätekennung, gekürzte Programmkennung, Prüfwert der IP-Adresse, ungefährer Ort, Land, Zeitpunkte): 180 Tage ab der letzten Nutzung. Danach werden sie gelöscht und das Gerät gilt wieder als unbekannt.
• Offene und abgeschlossene Bestätigungsvorgänge (dieselben Angaben, dazu drei Bestätigungswerte, alle nur als Prüfwert): 30 Tage.
• Angeforderte zweite Faktoren (Zeitpunkt, Programmkennung, Prüfwert und gekürzte Fassung der IP-Adresse, Ort, Land): 30 Tage.

Die Löschung läuft automatisch und in kleinen Schritten. Unabhängig davon löschen wir alle drei Arten von Einträgen, wenn der zugehörige Mandant gelöscht wird.

Empfänger

Für die gespeicherten Einträge keine. Gerätekennung, Prüfwert der Adresse, Ort und Land verlassen unsere Server nicht, und Ort und Land ermitteln wir ohne jede Abfrage bei Dritten.

Die Angaben in den Sicherheits-E-Mails (Gerät, Browser, IP-Adresse, Ort, Land, Zeitpunkt) erreichen dagegen unseren Versandweg nach Ziffer 4: unseren Mailserver bei ALL-INKL.COM in Deutschland. Die Absicherung dieser Übermittlung ist in Ziffer 4 beschrieben.

32. Messung des Registrierungsassistenten

Wer bei uns ein Konto anlegt, durchläuft einen Assistenten mit mehreren Schritten. Wir messen, an welcher Stelle dieser Weg abgebrochen wird und welche Fehler dabei auftreten. Der Zweck ist eng: Wir wollen erkennen, welcher Schritt Menschen aufhält, und ihn verbessern. Es geht nicht darum, einzelne Interessenten zu beobachten.

Was dabei gespeichert wird

• eine Sitzungskennung des Assistenten: eine Zufallszahl, die dieser Browser-Tab vergibt und die nur dazu dient, die Schritte eines Durchlaufs zusammenzuhängen. Sie liegt nicht auf Ihrem Endgerät, sondern nur im Arbeitsspeicher des Tabs; ein Neuladen erzeugt eine neue.
• Ihre IP-Adresse als Prüfwert, gebildet aus der Adresse und einem geheimen Zusatzwert (SHA-256). Die Adresse selbst wird nicht gespeichert und lässt sich aus dem Prüfwert nicht zurückrechnen. Sie dient allein dazu, automatisierte Massenzugriffe zu erkennen.
• der Schritt (Nummer) und die Art des Ereignisses (Schritt angesehen, Schritt abgeschlossen, zurückgeblättert, abgebrochen, abgeschickt, Fehler, Spam-Schutz fehlgeschlagen)
• ein Fehlercode, wenn ein Schritt fehlschlägt, und die Verweildauer auf dem Schritt in Millisekunden
• die Browserkennung, die Ihr Programm von sich aus mitsendet, auf 255 Zeichen gekürzt
• der gewählte Adressbestandteil Ihres künftigen Zugangs, sofern Sie ihn bereits eingegeben haben
• die drei Kampagnenkennungen utm_source, utm_medium und utm_campaign aus der Adresse, über die Sie gekommen sind. Sie benennen die Anzeige, nicht die Person. utm_term und utm_content nehmen wir nicht entgegen, weil dort Suchbegriffe stehen können.
• der Hostname der verweisenden Seite, also zum Beispiel www.google.com, ohne Pfad und ohne Parameter, sowie die Einstiegsseite auf unserer Website als reiner Pfad ohne Parameter. Beide sagen, woher ein Durchlauf kam, und beide sind so beschnitten, dass sie niemanden benennen können. Aus unseren geschützten Bereichen wird nie ein Pfad gespeichert.
• der Zeitpunkt des Ereignisses

Nicht gespeichert werden Ihre Eingaben aus dem Formular. Name, Firma, Anschrift und E-Mail-Adresse erreichen diese Messung nicht; sie gelangen erst mit dem Absenden der Registrierung in Ihr Konto und unterliegen dann Ziffer 8.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein Registrierungsweg, der funktioniert. Ohne diese Messung erfahren wir von einem Schritt, an dem regelmäßig abgebrochen wird, überhaupt nichts. Eine Einwilligung ist dafür nicht erforderlich, weil für die Messung nichts auf Ihrem Endgerät gespeichert und nichts von dort ausgelesen wird.

Zugriff auf Ihr Endgerät

Für die Messung selbst: keiner. Der Assistent legt allerdings Ihre bereits ausgefüllten Angaben im Sitzungsspeicher Ihres Browsers ab (alltagora_onboarding_state_v1), damit sie beim Zurückblättern und nach einem versehentlichen Neuladen erhalten bleiben. Passwörter sind davon ausgenommen. Der Eintrag wird gelöscht, sobald die Registrierung abgeschlossen ist, spätestens beim Schließen des Tabs. Er ist für den von Ihnen gewünschten Dienst unbedingt erforderlich, weil Ihre Eingaben sonst bei jedem Schritt verloren gingen (§ 25 Abs. 2 Nr. 2 TDDDG). Sitzungskennung, Kampagnenkennungen und Herkunft liegen nicht auf Ihrem Endgerät, sondern nur im Arbeitsspeicher des Tabs.

Speicherdauer

Die einzelnen Zeilen werden nach 90 Tagen automatisch gelöscht. Was danach bleibt, sind Tageszahlen ohne Personenbezug: je Tag, Ereignisart, Schritt und Kanal die Anzahl der Ereignisse und die Anzahl der Durchläufe. Diese Zahlen enthalten weder die Sitzungskennung noch den Prüfwert der IP-Adresse noch die Browserkennung und unterliegen deshalb keiner Frist. Wird ein Durchlauf zu einem Konto, gelten für dieses Konto die Fristen aus Ziffer 8; die Messzeilen bleiben davon getrennt.

Empfänger

Keine. Diese Daten verlassen unsere Server nicht. Es ist kein Analyse-Dienstleister beteiligt, und es findet keine Übermittlung in ein Drittland statt.

Widerspruch

Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO über die in Ziffer 7 genannten Wege widersprechen. Unabhängig davon unterbleibt die Messung, wenn Sie in Ihrem Browser die Einstellung „Do Not Track" aktiviert haben oder ein Inhaltsblocker die Meldungen unterbindet.

33. Signatur der Einträge aus der mobilen App

Einsatzkräfte dokumentieren häufig dort, wo kein Netz ist. Die App legt solche Einträge in eine Warteschlange und sendet sie nach, sobald wieder Verbindung besteht. Das gilt auch für Fotos und Unterschriften: Sie werden auf dem Gerät AES-verschlüsselt zwischengespeichert, höchstens 50 Fotos gleichzeitig, und nach der erfolgreichen Übertragung auf dem Gerät gelöscht. Damit später nachvollziehbar bleibt, dass ein nachgereichter Eintrag echt ist, unterwegs nicht verändert wurde und nicht nachträglich zwischen ältere Einträge geschoben wurde, unterschreibt das Gerät jeden Eintrag elektronisch.

Abgrenzung zu Ziffer 31: Dort geht es um den Zugang, also darum, ob sich ein Gerät anmelden darf. Hier geht es um die Herkunft eines Eintrags. Es sind zwei getrennte Verarbeitungen mit getrennten Daten.

Wer verantwortlich ist

Soweit es um Einträge von Mitarbeiterinnen und Mitarbeitern eines Dienstes geht, ist der Verantwortliche (Ihr Dienst) die verantwortliche Stelle. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Wir beschreiben die Verarbeitung hier, damit sie für alle Beteiligten nachvollziehbar ist, und nicht, weil wir sie für eigene Zwecke betreiben.

Was dabei verarbeitet wird

Bei der Einrichtung erzeugt die App ein Schlüsselpaar. Der geheime Teil bleibt im Gerät und ist so hinterlegt, dass er nicht ausgelesen werden kann. Bei uns wird nur der öffentliche Teil gespeichert, dazu eine vom Gerät selbst erzeugte Gerätekennung (eine Zufallszahl ohne Bezug zu Ihrer Person), die Angabe, ob es sich um Android, iOS oder einen Browser handelt, die Version der App sowie die Zeitpunkte der Einrichtung und der letzten Nutzung.

Zu jedem Schreibvorgang aus der App speichern wir: das Konto, die Gerätekennung, eine laufende Nummer, die Uhrzeit des Geräts zum Zeitpunkt der Erfassung, die Uhrzeit unseres Servers beim Eingang, die Zeitspanne dazwischen, die Angabe ob der Eintrag ohne Netz entstand, den aufgerufenen Pfad, Prüfwerte über den Inhalt und über den vorangegangenen Eintrag, die Unterschrift selbst sowie das Ergebnis der Prüfung und den Datensatz, auf den sich der Eintrag bezieht.

Der Inhalt Ihrer Dokumentation wird dabei nicht zusätzlich gespeichert. Von ihm entsteht nur ein Prüfwert (SHA-256), aus dem sich der Text nicht zurückbilden lässt. Er dient allein dem Vergleich, ob der Eintrag unterwegs verändert wurde.

Was das über Arbeitszeiten aussagt, und was nicht

Aus der Uhrzeit des Geräts und der Zeitspanne bis zum Eingang lässt sich ablesen, wann dokumentiert wurde und wie lange ein Eintrag danach im Gerät lag. Das ist eine Angabe über das Verhalten von Beschäftigten, und wir benennen das ausdrücklich, statt es zu umschreiben.

Wir setzen diese Angaben nicht für eine Leistungsbewertung, eine Rangfolge oder eine automatisierte Entscheidung ein. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Fällt ein Eintrag als auffällig auf, führt das zu einem Protokolleintrag und einem Hinweis an die Leitung, nie zu einer unmittelbaren Folge für die betroffene Person. Ein abgelehnter Eintrag wird gar nicht erst gespeichert, die App meldet den Fehler und versucht es erneut.

Wer die Einträge sehen kann

Innerhalb des Dienstes können Leitung und Büro die Prüfergebnisse einsehen. Eine Einsatzkraft sieht die Einträge ihrer Kolleginnen und Kollegen nicht.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die Nachweisbarkeit der erbrachten Leistung: eine Dokumentation, deren Herkunft und Reihenfolge sich nicht belegen lässt, ist im Streitfall wertlos, und zwar zulasten beider Seiten. Hinzu kommt die Pflicht aus Art. 32 DSGVO, die Integrität der verarbeiteten Daten sicherzustellen. Für die Verarbeitung im Verhältnis zum Verantwortlichen tritt Art. 6 Abs. 1 lit. b DSGVO hinzu, weil eine belastbare Dokumentation Teil der geschuldeten Leistung ist.

Widerspruch (Art. 21 Abs. 1 DSGVO)

Sie können dieser Verarbeitung widersprechen. Richten Sie den Widerspruch an den Verantwortlichen (Ihren Dienst) als verantwortliche Stelle, nicht an uns. Wir weisen darauf hin, dass die Signatur nicht einzeln abschaltbar ist: sie ist kein Zusatz zur Dokumentation, sondern der Nachweis, dass die Dokumentation echt ist. Ohne sie entfällt nicht eine Auswertung, sondern die Belegbarkeit des Eintrags selbst.

Ihre Kontrolle über das Gerät

Sie können den Schlüssel Ihres Geräts jederzeit in der App entziehen. Beim Abmelden geschieht das automatisch. Danach nehmen wir von diesem Gerät keine Unterschrift mehr an, und es muss bei der nächsten Anmeldung einen neuen Schlüssel hinterlegen. Bereits vorhandene Nachweise bleiben davon unberührt, weil sie sich auf bereits erbrachte Leistungen beziehen.

Speicherdauer

Der Geräteschlüssel wird gelöscht, wenn das zugehörige Benutzerkonto gelöscht wird. Die Prüfeinträge zu Einträgen, die sofort übertragen und bestätigt wurden, löschen wir nach 30 Tagen. Prüfeinträge zu offline erfassten, verdächtigen, abgelehnten oder unsignierten Einträgen gehören zu der Dokumentation, deren Echtheit sie belegen; wir bewahren sie zehn Jahre auf, angelehnt an die Aufbewahrung der Pflege- und Betreuungsdokumentation, und löschen sie spätestens gemeinsam mit dem Mandanten, wenn dessen Vertragsverhältnis endet. Eine kürzere Frist legt der Verantwortliche (Ihr Dienst) als verantwortliche Stelle im Rahmen seines Löschkonzepts fest.

Empfänger

Keine. Geräteschlüssel, Gerätekennung und Prüfeinträge verlassen unsere Server nicht. Es ist kein weiterer Dienstleister beteiligt.

33a. Sprachaufnahmen (Diktat in der App)

Pflege- und Betreuungskräfte können in der Alltagora-App einen Dokumentationseintrag diktieren, statt ihn zu tippen. Die Tonaufnahme wird auf unseren Server in Deutschland übertragen und dort von einem Spracherkennungsmodell (Whisper), das wir selbst betreiben, in Text umgewandelt. An der Umwandlung ist kein Drittanbieter beteiligt, die Aufnahme verlässt unsere Systeme nicht. Der erkannte Text wird Teil der Dokumentation des Klienten; für seine weitere Strukturierung gilt Ziffer 4 (Anthropic).

Verarbeitete Daten: die Tonaufnahme, der daraus erkannte Text, die Kennung des Klienten, die Kennung des Dienstes und der Zeitpunkt der Aufnahme. Die Aufnahme kann Gesundheitsdaten nach Art. 9 DSGVO enthalten.

Rollen und Rechtsgrundlage: Verantwortlicher ist der Pflege- oder Betreuungsdienst, der die App einsetzt; wir verarbeiten die Aufnahme als sein Auftragsverarbeiter (Ziffer 18). Rechtsgrundlage ist Art. 9 Abs. 2 lit. h DSGVO (Pflegedokumentation). Ein Diktat setzt voraus, dass der Dienst für den Klienten eine Einwilligung zur Datenverarbeitung erfasst hat; die Plattform prüft das vor der Annahme des Diktats und weist es sonst ab. Zeitpunkt und erfassende Person dieser Einwilligung speichern wir für den Dienst; eine Ausnahme durch einen Administrator des Dienstes wird protokolliert.

Speicherung und Löschung: Die Tonaufnahme liegt in unserem Objektspeicher auf unserem Server in Deutschland (Ziffer 4) und wird 30 Tage nach der Aufnahme automatisch gelöscht; die Löschung wird protokolliert. Wird der Klient gelöscht, löschen wir seine Tonaufnahmen mit. Der erkannte Text bleibt Teil der Dokumentation und wird so lange aufbewahrt wie diese (gesetzliche Fristen des Dienstes, Ziffer 3.4). Bei Vertragsende gilt Ziffer 10 und der Auftragsverarbeitungsvertrag.

Empfänger: Keine. Spracherkennung und Speicherung erfolgen ausschließlich auf unseren Systemen, ein Unterauftragsverarbeiter ist für die Tonaufnahme nicht beteiligt.

Fragen zu dieser Verarbeitung richten Sie als Klientin oder Klient bitte an den Dienst als verantwortliche Stelle (Ziffer 18), wir unterstützen ihn dabei.

34. Rückmeldung zur abgebrochenen Einrichtung

Wer bei uns ein Konto anlegt, findet im Dashboard eine Checkliste mit den ersten Einrichtungsschritten. Diese Checkliste lässt sich wegklicken. Geschieht das, schreiben wir dem Betrieb einmalig eine E-Mail mit fünf anklickbaren Gründen und der Bitte, uns den zutreffenden zu nennen. Der Zweck ist eng: Wir wollen erkennen, welcher Schritt Betriebe aufhält, und ihn verbessern. Eine Antwort ist freiwillig. Sie ist keine Bedingung für die Nutzung, und wenn sie ausbleibt, hat das keine Folgen für Ihren Vertrag, Ihren Tarif oder Ihren Zugang.

Was dabei gespeichert wird

• die von Ihnen angekreuzten Gründe aus einer festen Liste von fünf Punkten: zu kompliziert, keine Zeit gehabt, fehlende Funktion für den Betrieb, nur unverbindlich testen wollen, anderer Grund. Etwas anderes als diese fünf nimmt unser Server nicht entgegen.
• Ihr Freitext, sofern Sie einen schreiben, begrenzt auf 1000 Zeichen. Das Feld ist freiwillig und darf leer bleiben.
• die Kennung Ihres Mandanten, also des Betriebs, und der Zeitpunkt der Antwort

Nicht gespeichert wird, welche Person geantwortet hat. Wir legen zu der Antwort weder Ihr Benutzerkonto noch Ihren Namen noch Ihre E-Mail-Adresse noch Ihre IP-Adresse. Die Frage lautet, warum ein Betrieb die Einrichtung abgebrochen hat, nicht wer geklickt hat.

Der Link aus der E-Mail führt Sie ohne Anmeldung auf die Antwortseite. Er ist Ihrem Betrieb zugeordnet, 60 Tage gültig und danach wertlos. Die Antwortseite zeigt Ihnen zur Bestätigung nur den Namen Ihres Betriebs, keine weiteren Daten aus Ihrem Konto.

Bitte tragen Sie in das Freitextfeld keine Klienten-, Beschäftigten- oder Gesundheitsdaten ein. Für Ihre Rückmeldung brauchen wir sie nicht, und die Seite ist ohne Anmeldung erreichbar.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine Einrichtung, die funktioniert. Ohne diese Frage erfahren wir von einem Schritt, an dem regelmäßig abgebrochen wird, nur die Anzahl und nie den Grund. Eine Einwilligung ist nicht erforderlich, weil für die Rückmeldung nichts auf Ihrem Endgerät gespeichert und nichts von dort ausgelesen wird (§ 25 Abs. 2 TDDDG greift nicht) und weil Sie über die Teilnahme selbst entscheiden.

Speicherdauer

Ihre Antwort einschließlich des Freitexts löschen wir nach 24 Monaten automatisch. Diese Dauer deckt zwei Jahresläufe ab und erlaubt damit den Vergleich, ob eine Änderung an der Einrichtung den genannten Grund tatsächlich hat verschwinden lassen. Der Freitext unterliegt derselben Frist; er wird nicht länger aufbewahrt als die Auswahl, zu der er gehört. Den Zugangslink löschen wir, sobald seine Gültigkeit von 60 Tagen abgelaufen ist. Endet Ihr Vertragsverhältnis früher, löschen wir Antwort und Zugangslink gemeinsam mit Ihrem Mandanten.

Empfänger

Keine. Die Antworten verlassen unsere Server nicht. Es ist kein Umfrage-Dienstleister beteiligt, und es findet keine Übermittlung in ein Drittland statt.

Widerspruch

Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO über die in Ziffer 7 genannten Wege widersprechen. Da die Teilnahme freiwillig ist, genügt es dafür, den Link nicht zu benutzen. Haben Sie bereits geantwortet und möchten die Antwort zurückziehen, löschen wir sie auf Ihre Nachricht hin.

35. Belegabruf über einen Link

Rechnungen, Mahnungen und Kostenvoranschläge, die ein Pflege- oder Betreuungsdienst über die Plattform an seine Klienten versendet, hängen wir grundsätzlich nicht als Datei an die E-Mail an. Die E-Mail enthält stattdessen einen persönlichen Abruflink auf eine Seite unter alltagora.de/beleg/, auf der der Beleg heruntergeladen werden kann. Bis zur Umstellung gingen Belege als passwortgeschütztes PDF im Anhang; bei Rechnungen an eine Pflegekasse kam eine XRechnung im XML-Format hinzu, die nicht geschützt war.

Warum wir das geändert haben: Ein E-Mail-Anhang bleibt dauerhaft dort liegen, wo die E-Mail liegt: im Postfach des Empfängers, bei dessen E-Mail-Anbieter und auf jedem Gerät, das die Nachricht abgerufen hat. Eine Rechnung über Pflege- oder Betreuungsleistungen sagt etwas über den Gesundheitszustand der abgerechneten Person aus und enthält damit Gesundheitsdaten im Sinne des Art. 4 Nr. 15 und Art. 9 DSGVO. Für Daten dieser Art halten wir eine Ablage in fremden Postfächern, auf die wir keinen Einfluss haben, für ein zu hohes Risiko (Art. 32 Abs. 1 und 2 DSGVO). Der Abruflink ersetzt den Anhang durch einen zeitlich begrenzten Zugriff auf unseren Servern, der erst nach einer Prüfung erfolgt und nach Ablauf endet.

Wer verantwortlich ist

Verantwortliche Stelle für Ihre Belege ist der Pflege- oder Betreuungsdienst, der Sie betreut. Er stellt die Rechnung, er entscheidet über ihren Inhalt und er versendet sie über die Plattform. Wir verarbeiten die Daten ausschließlich in seinem Auftrag und nach seinen Weisungen auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO, siehe Ziffer 18). Wir beschreiben die Verarbeitung hier, damit sie für alle Beteiligten nachvollziehbar ist.

So funktioniert der Abruf

Der Link enthält einen zufälligen Schlüssel von 32 Byte Länge. Bei uns ist nicht der Schlüssel gespeichert, sondern nur sein Prüfwert (SHA-256); aus dem Prüfwert lässt sich der Link nicht zurückrechnen. Der Link gilt 30 Tage ab dem Versand. Danach zeigt die Seite nur noch den Hinweis, den Beleg beim Pflege- oder Betreuungsdienst neu anzufordern.

Sind Sie beim Dienst als Klientin oder Klient geführt, fragt die Seite vor dem Abruf nach Ihrem Geburtsdatum und vergleicht es mit den dort hinterlegten Stammdaten. Damit soll verhindert werden, dass jemand, der die E-Mail abfängt oder in einem fremden Postfach findet, den Beleg öffnen kann. Nach fünf Fehlversuchen ist der Link für 30 Minuten gesperrt. Empfänger eines Kostenvoranschlags, zu denen der Dienst keine Klientenakte führt, erhalten den Link ohne diese Abfrage, weil dort kein Geburtsdatum vorliegt, gegen das geprüft werden könnte.

Auf der Abrufseite stehen zum Herunterladen: der Beleg als PDF und bei Rechnungen an eine Pflegekasse zusätzlich die XRechnung im XML-Format. Beides liegt nur dort und nicht in der E-Mail.

Was dabei verarbeitet wird

Zu jedem Link speichern wir: den Mandanten, also den versendenden Dienst, die Belegart und den Beleg, auf den sich der Link bezieht, den Prüfwert des Schlüssels, den Zeitpunkt der Erstellung und des Ablaufs, den Zeitpunkt jedes Abrufs, die Zahl der Fehlversuche bei der Abfrage des Geburtsdatums und gegebenenfalls den Zeitpunkt der Sperre sowie die IP-Adresse des Abrufs als Prüfwert. Für die IP-Adresse gilt dasselbe Verfahren wie in Ziffer 31: gespeichert wird nicht die Adresse, sondern ein Prüfwert aus der Adresse und einem geheimen, gleichbleibenden Zusatzwert (SHA-256), aus dem sie sich nicht zurückrechnen lässt. Jeder Abruf wird außerdem im Prüfprotokoll des Dienstes vermerkt, damit dieser belegen kann, wann ein Beleg abgerufen wurde.

Das von Ihnen eingegebene Geburtsdatum dient nur dem Vergleich und wird nicht zusätzlich gespeichert.

Rechtsgrundlage

Für den Pflege- oder Betreuungsdienst ist die Rechnungsstellung Teil der Erfüllung des Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Die Art der Bereitstellung, also Link statt Anhang, Abfrage des Geburtsdatums und Sperre nach Fehlversuchen, ist eine technische und organisatorische Maßnahme zur Sicherheit der Verarbeitung nach Art. 32 DSGVO, zu der Dienst und Auftragsverarbeiter gleichermaßen verpflichtet sind. Wir handeln dabei als Auftragsverarbeiter nach Art. 28 DSGVO.

Speicherdauer

Den Datensatz zum Link löschen wir 12 Monate nach seiner Erstellung automatisch, unabhängig davon, ob der Link genutzt wurde. Der Beleg selbst und der Eintrag im Prüfprotokoll gehören zu den Rechnungsdaten des Dienstes und folgen deren Aufbewahrung nach Ziffer 6. Endet das Vertragsverhältnis des Dienstes mit uns, gelten die Fristen aus Ziffer 6 und aus dem Auftragsverarbeitungsvertrag.

Empfänger

Keine. Die Abrufseite läuft auf unseren Servern in Deutschland (24fire GmbH, Ziffer 4). Es ist kein weiterer Dienstleister beteiligt, und der Beleg verlässt unsere Server nur dann, wenn Sie ihn über den Link herunterladen. Die E-Mail mit dem Link erreicht unseren Versandweg nach Ziffer 4; sie enthält den Link, aber nicht den Beleg. Beim Aufruf der Seite entstehen Server-Logs nach Ziffer 14.

Abweichungen auf Wahl des Dienstes

Der Pflege- oder Betreuungsdienst kann im Einzelfall einen anderen Weg wählen. Die Plattform verlangt dafür eine ausdrückliche Bestätigung und vermerkt sie mit Benutzer und Zeitpunkt im Prüfprotokoll des Dienstes.

Anhang an Klienten: Der Beleg geht als PDF-Anhang hinaus, geschützt mit einem Passwort (AES-256). Das Passwort wird aus Ihren Stammdaten gebildet und ist deshalb für Personen erratbar, die diese Daten kennen.

Rechnungen an eine Pflegekasse: Rechnet der Dienst direkt mit Ihrer Pflegekasse ab, lädt er Rechnung und Leistungsnachweise in der Plattform herunter und reicht sie per Post oder über das Portal der Kasse ein. Nur wenn der Dienst ausdrücklich den E-Mail-Versand wählt, gehen beide Belege ohne Passwortschutz als Anhang an die Kasse. Empfänger sind dann die Pflegekasse und unser Versanddienstleister nach Ziffer 4. Die Verbindung zu dessen Mailserver ist verschlüsselt (TLS), die Weiterleitung zur Kasse nur, soweit deren Mailserver TLS anbietet.

Fragen zur Zustellung

Fragen und Einwände zur Rechnungsstellung und zum Zustellweg richten Sie an den Pflege- oder Betreuungsdienst als verantwortliche Stelle. Wünschen Sie einen anderen Weg, etwa den Postversand, vereinbaren Sie ihn dort. Für Fragen zur Technik erreichen Sie uns über die Kontaktwege in Ziffer 15.

36. Sicherheitswort, Prüfcode und Meldung gefälschter E-Mails

Gefälschte E-Mails, die eine Rechnung, eine Mahnung oder eine Nachricht eines Pflegedienstes vortäuschen, sind für Empfänger schwer von echten zu unterscheiden. Wir setzen deshalb zwei Merkmale ein, an denen Sie eine echte Nachricht erkennen können, und bieten einen Meldeweg für verdächtige Nachrichten an.

Sicherheitswort

Für jede Klientin und jeden Klienten, jede Angehörige und jeden Angehörigen mit hinterlegter E-Mail-Adresse und für jeden Benutzer der Anwendung erzeugen wir automatisch ein Sicherheitswort: zwei deutsche Wörter und zwei Ziffern, zum Beispiel Ahorn-Kompass-42. Jede E-Mail an diese Person enthält ihr Sicherheitswort in einem Kasten am Anfang, und jeder Beleg (Rechnung, Mahnung, Kostenvoranschlag) trägt es ebenfalls. Fehlt das Sicherheitswort oder stimmt es nicht, stammt die Nachricht nicht von uns. Wir fragen das Sicherheitswort nie ab, weder per E-Mail noch am Telefon.

Das Sicherheitswort ist bei uns verschlüsselt gespeichert (AES-256-GCM, wie die übrigen Stammdaten). Benutzer der Anwendung sehen und ändern es in ihrem Profil. Für Klienten und Angehörige ist es in der Klientenakte hinterlegt und wird vom Pflege- oder Betreuungsdienst gepflegt, der es Ihnen auf Nachfrage nennt und auf Wunsch ändert. Das Sicherheitswort ist kein Passwort und gewährt keinen Zugang.

Prüfcode

Jede E-Mail, die wir versenden, trägt in der Fußzeile einen zufälligen Prüfcode aus zehn Zeichen. Unter alltagora.de/pruefen können Sie diesen Code eingeben, ohne sich anzumelden. Die Seite antwortet nur mit vier Angaben: ob eine E-Mail mit diesem Code von uns versandt wurde, wann, an welche Adresse in maskierter Form (sichtbar sind das erste und das letzte Zeichen vor dem @) und in wessen Auftrag, also welcher Kunde der Absender war. Weitere Angaben, insbesondere den Inhalt der E-Mail, gibt die Seite nicht preis. Der Prüfcode allein lässt keinen Rückschluss auf eine Person zu.

Damit die Seite nicht zum Durchprobieren von Codes missbraucht werden kann, sind Anfragen auf zehn je Minute und IP-Adresse begrenzt. Für diese Begrenzung wird die IP-Adresse kurzzeitig gezählt, aber nicht dauerhaft gespeichert; sie erscheint nur in den Server-Logs nach Ziffer 14.

Meldung gefälschter E-Mails

Erhalten Sie eine E-Mail, die von uns oder von Ihrem Pflege- oder Betreuungsdienst zu stammen scheint und der das Sicherheitswort fehlt oder deren Prüfcode keinen Treffer ergibt, leiten Sie sie bitte an phishing@alltagora.de weiter. Die Meldung geht in unser Support-System (Ziffer 12). Mit ihr verarbeiten wir Ihre Absenderadresse, den Inhalt der weitergeleiteten Nachricht einschließlich ihrer Kopfzeilen und den Zeitpunkt des Eingangs. Wir nutzen die Meldungen, um Fälschungswellen zu erkennen und betroffene Kunden zu warnen.

Technische Absicherung des Versandwegs

Ergänzend sichern wir den Versandweg mit den dafür üblichen Verfahren ab, und zwar in dem Umfang, in dem sie heute eingerichtet sind: Ein SPF-Eintrag benennt die Server, die für unsere Domain senden dürfen. Unsere DMARC-Richtlinie sieht die Stufe quarantine vor, empfangende Server sollen Nachrichten, die diese Prüfung nicht bestehen, in den Spam-Ordner legen; Berichte darüber gehen an legal@alltagora.de. Die DKIM-Signatur unserer E-Mails setzt derzeit der Mailserver unseres Versanddienstleisters ALL-INKL.COM (Ziffer 4); ein eigener DKIM-Schlüssel für unsere Domain ist im DNS hinterlegt, kommt aber erst zum Tragen, wenn der Versand nicht mehr über ALL-INKL.COM läuft, weil dessen Server unsere Signatur durch seine eigene ersetzt. Für die verschlüsselte Übertragung von E-Mails an unsere Domain ist MTA-STS im verbindlichen Modus (enforce) hinterlegt: Mailserver, die das Verfahren unterstützen, stellen solche E-Mails nur über eine verschlüsselte Verbindung an einen Server mit gültigem Zertifikat zu. Keines dieser Verfahren kann Fälschungen vollständig ausschließen: sie wirken nur, soweit der empfangende Server sie prüft, und sie schützen nicht vor Nachrichten von ähnlich aussehenden Absenderadressen. Deshalb bleiben Sicherheitswort und Prüfcode die Merkmale, auf die Sie sich verlassen sollten.

Was dabei verarbeitet wird

Für den Prüfcode führen wir zu jeder ausgehenden E-Mail einen Eintrag in unserem Versandprotokoll: den Prüfcode, den Versandzeitpunkt, die Empfängeradresse (verschlüsselt gespeichert, für die Prüfseite zusätzlich als Prüfwert und in maskierter Form), den Absender, also den Kunden, in dessen Auftrag die E-Mail versandt wurde, und die Kategorie der E-Mail (etwa Rechnung, Terminerinnerung oder Sicherheitshinweis). Dieses Protokoll bestand bereits vor der Einführung des Prüfcodes; es ist die Grundlage der Zustellkontrolle und der Messungen aus Ziffer 30. Der Prüfcode kommt als weiteres Feld hinzu.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Sicherheit unserer E-Mail-Kommunikation und der Schutz der Empfänger vor Nachrichten, die sich als unsere ausgeben; zu Maßnahmen dieser Art verpflichtet uns Art. 32 DSGVO. Für Benutzerkonten gilt die Rollenverteilung aus Ziffer 18. Soweit es um Klienten und Angehörige eines Pflege- oder Betreuungsdienstes geht, ist der Dienst die verantwortliche Stelle, und wir setzen Sicherheitswort und Prüfcode als technische und organisatorische Maßnahme im Rahmen der Auftragsverarbeitung ein (Art. 28 Abs. 3 lit. c in Verbindung mit Art. 32 DSGVO). Die Prüfseite und den Meldeweg an phishing@alltagora.de betreiben wir in eigener Verantwortung.

Speicherdauer

• Sicherheitswort: solange das zugehörige Benutzerkonto, die Klientenakte oder der Eintrag des Angehörigen besteht. Es wird gemeinsam mit diesem Datensatz gelöscht.
• Prüfcode und Eintrag im Versandprotokoll: drei Jahre nach dem Versand. Danach ergibt die Prüfung eines Codes keinen Treffer mehr.
• Meldungen an phishing@alltagora.de: wie alle Support-Vorgänge nach Ziffer 12.2, also Anonymisierung drei Jahre nach Abschluss.

Empfänger

Sicherheitswort und Prüfcode stehen in den E-Mails und Belegen selbst und erreichen damit unseren Versandweg nach Ziffer 4: unseren Mailserver bei ALL-INKL.COM in Deutschland. Darüber hinaus keine: das Versandprotokoll und die Meldungen an phishing@alltagora.de verlassen unsere Server nicht, und die Prüfseite antwortet nur mit den oben genannten vier Angaben.

Widerspruch (Art. 21 Abs. 1 DSGVO)

Sie können dieser Verarbeitung widersprechen. Sicherheitswort und Prüfcode lassen sich dabei nicht einzeln abwählen. Nach Art. 21 Abs. 1 Satz 2 DSGVO endet eine auf berechtigtes Interesse gestützte Verarbeitung nicht, wenn zwingende schutzwürdige Gründe überwiegen. Das ist hier der Fall: beide Merkmale sind kein Zusatz zur Nachricht, sondern das Mittel, mit dem Sie eine echte von einer gefälschten unterscheiden können, und wir dürfen diesen Schutz nicht davon abhängig machen, dass er abgewählt werden kann. Das Sicherheitswort selbst können Sie jederzeit ändern: Benutzer im eigenen Profil, Klienten und Angehörige über den Pflege- oder Betreuungsdienst. Widersprüche, die Ihre Klienten- oder Angehörigendaten betreffen, richten Sie an den Dienst als verantwortliche Stelle, im Übrigen an uns über die Wege in Ziffer 15.

37. Datenträgeraustausch mit Pflegekassen (§ 105 SGB XI)

Pflege- und Betreuungsdienste können ihre Abrechnungen mit den Pflegekassen über die Plattform im Datenträgeraustausch nach § 105 SGB XI einreichen. Auf Weisung des Dienstes erzeugen wir dafür die Abrechnungsdateien und übermitteln sie per E-Mail an die Datenannahmestelle der jeweiligen Pflegekasse. Die Übermittlung folgt den Gemeinsamen Grundsätzen Technik des GKV-Spitzenverbandes: Die Nutzdaten werden vor dem Versand mit dem Zertifikat der Datenannahmestelle verschlüsselt und mit dem Zertifikat des Dienstes signiert, sodass nur die Annahmestelle sie lesen kann.

Verarbeitete Daten: Abrechnungsdaten der versicherten Klienten (Name, Versichertennummer, Pflegegrad, erbrachte Leistungen, Zeiträume, Beträge), das Institutionskennzeichen des Dienstes sowie Betreff und Absenderangaben der Versand-E-Mail. Es handelt sich um Gesundheitsdaten nach Art. 9 DSGVO.

Rollen und Rechtsgrundlage: Verantwortlicher für die Abrechnung ist der Pflege- oder Betreuungsdienst (Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 105 SGB XI). Wir handeln als sein Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Auftragsverarbeitungsvertrags (Ziffer 10). Empfänger sind die Pflegekassen und ihre Datenannahmestellen als eigene Verantwortliche. Eine Übermittlung in ein Drittland findet nicht statt.

Speicherung: Die erzeugten Abrechnungsdateien und die Rückmeldungen der Annahmestellen bewahren wir für den Dienst nach den Fristen aus Ziffer 3.4 auf. Jeden Versandversuch protokollieren wir mit Zeitpunkt, Empfänger und Ergebnis für zwei Jahre, wie es die Gemeinsamen Grundsätze Technik vorsehen.

Als Klientin oder Klient eines Dienstes richten Sie Fragen zu dieser Verarbeitung an den Dienst als verantwortliche Stelle (Ziffer 18); wir unterstützen ihn bei der Beantwortung.

38. Webinare

Zur Anmeldung zu einem Webinar verarbeiten wir Ihre E-Mail-Adresse (Pflicht), optional Vornamen, Nachnamen und Unternehmen sowie Datum und Uhrzeit der Anmeldung und die Fassung der Nutzungsbedingungen, der Sie zugestimmt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Webinars auf Ihre Anmeldung) in Verbindung mit unseren Nutzungsbedingungen für Demos. Den Newsletter erhalten Sie nur, wenn Sie ihn bei der Anmeldung gesondert bestellen (Ziffer 20).

Während eines Live-Webinars: Live-Webinare führen wir über unseren eigenen Jitsi-Server nach Ziffer 22 durch. Kamera und Mikrofon der Teilnehmer sind standardmäßig ausgeschaltet, Fragen stellen Sie über den Chat. Schalten Sie Kamera oder Mikrofon selbst ein, willigen Sie damit ein, dass die anderen Teilnehmer Sie sehen und hören (Art. 6 Abs. 1 lit. a DSGVO). Wir zeichnen bei Webinaren nur den Vortrag des Präsentators und dessen Bildschirm auf, nicht die Kamera- und Tonspuren der Teilnehmer. Chat-Fragen übernehmen wir in eine veröffentlichte Aufzeichnung nur ohne Namen und ohne Rückschluss auf die fragende Person. Der Chat wird nach dem Webinar gelöscht.

Aufzeichnungen veröffentlichen wir auf alltagora.de und bei YouTube nach der Zwei-Klick-Lösung aus Ziffer 19. Anmeldedaten löschen wir 12 Monate nach dem Webinar. Ihre Rechte aus Ziffer 7 bleiben unberührt.

39. Veranstaltungen und Messen

Auf Messen, Fachtagen und eigenen Veranstaltungen fertigen wir Fotos und kurze Videos an, um über die Veranstaltung auf alltagora.de, bei Instagram und Facebook zu berichten. Übersichtsaufnahmen, auf denen Personen nur als Teil der Veranstaltung oder als Beiwerk erscheinen, veröffentlichen wir auf Grundlage unseres berechtigten Interesses an der Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO, § 23 Abs. 1 Nr. 2 und 3 KUG). Porträts, Einzelaufnahmen und Aufnahmen von Gesprächen an unserem Stand veröffentlichen wir nur mit Ihrer Einwilligung, die wir vor der Aufnahme schriftlich oder elektronisch einholen (Art. 6 Abs. 1 lit. a DSGVO, § 22 KUG).

Sie können der Aufnahme jederzeit vor Ort widersprechen, sprechen Sie dazu unser Standpersonal an. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, wir entfernen die Aufnahme dann innerhalb von 14 Tagen aus allen von uns betriebenen Kanälen. Ein Hinweisschild am Stand informiert über diese Verarbeitung und verweist auf diese Ziffer. Foto- und Filmaufnahmen an unserem Stand durch Besucher sind nur nach Rücksprache mit dem Standpersonal gestattet.

Kontaktdaten, die Sie uns am Stand überlassen (Visitenkarte, Lead-Zettel), verarbeiten wir zur Beantwortung Ihrer konkreten Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Werbliche E-Mails und Anrufe erhalten Sie nur, wenn Sie dem auf dem Lead-Zettel ausdrücklich zugestimmt haben (§ 7 Abs. 2 UWG). Lead-Daten löschen wir 6 Monate nach der Veranstaltung, wenn kein Vertrag zustande kommt.

40. Referenzen und Testimonials

Mit Kunden, die dem zugestimmt haben, veröffentlichen wir Referenzen: Firmenname und Logo des Dienstes, ein Zitat, eine Fallstudie und auf Wunsch ein Video mit Bild und Stimme einer Ansprechperson. Firmenname und Logo sind Angaben zum Unternehmen, sie nutzen wir auf Grundlage einer Referenz-Vereinbarung mit dem Kunden. Namen, Bilder und Stimmen von Personen veröffentlichen wir nur mit deren Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 22 KUG. Vor der Veröffentlichung eines Videos erhält die Person den fertigen Schnitt zur Freigabe.

Veröffentlichungsorte sind alltagora.de, unsere Kanäle bei Instagram und Facebook sowie Webinar-Aufzeichnungen bei YouTube (Ziffer 19). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, wir entfernen die Inhalte dann innerhalb von 14 Tagen aus allen von uns betriebenen Kanälen. Bereits gedruckte Unterlagen werden nicht nachträglich eingezogen, darauf weisen wir bei der Einwilligung hin. Widerruf an datenschutz@alltagora.de.

41. Fehlererfassung (GlitchTip)

Damit wir Programmfehler auf der Website, in der Anwendung und in der App erkennen und beheben können, betreiben wir den Fehler-Tracker GlitchTip selbst auf unseren Servern in Deutschland (Hosting durch die 24fire GmbH, Ziffer 4). Die Fehlerberichte gehen an keinen weiteren Empfänger, auch nicht an den Hersteller von GlitchTip.

Im Browser. Tritt auf alltagora.de oder in der Anwendung ein Programmfehler auf, sendet Ihr Browser einen Fehlerbericht: Fehlermeldung, betroffene Programmstelle, aufgerufene Adresse, Browser und Betriebssystem, Zeitpunkt sowie eine technische Spur der vorangegangenen Vorgänge (Seitenwechsel, Netzwerkanfragen, Konsolenmeldungen). Texte angeklickter Elemente und Ihre Eingaben werden nicht übertragen.

In der Android-App. Ab Version 1.7.10 sendet die App Absturzberichte nur, wenn Sie das im Profil unter „Absturzberichte“ mit dem Schalter „Absturzberichte senden“ erlaubt haben. Der Schalter ist zunächst aus. Ist er eingeschaltet und stürzt die App ab oder reagiert sie nicht mehr, sendet sie einen Absturzbericht: Fehlermeldung und Programmstelle, App-Version, Android-Version, Hersteller und Modell des Geräts, Geräteeigenschaften zum Zeitpunkt des Fehlers (Arbeits- und Datenspeicher, Akkustand, Bildschirm, Zeitzone, Netzwerktyp, ob das Gerät gerootet ist) und eine technische Spur (Wechsel zwischen Vorder- und Hintergrund, Netzwerk- und Akkuwechsel). Bildschirminhalte, Eingaben und Standortdaten werden nicht übertragen. Erst nach dem Einschalten legt die App dafür eine zufällige Installationskennung an, die nicht mit Ihrem Nutzerkonto verknüpft ist, und hält Berichte, die noch nicht gesendet werden konnten, bis zur nächsten Verbindung auf dem Gerät vor. Schalten Sie den Schalter aus, löscht die App beides sofort, spätestens werden beide mit der Deinstallation gelöscht. Version 1.7.9 hat Absturzberichte noch ohne diesen Schalter gesendet. Nach dem Update auf 1.7.10 löscht die App Kennung und ungesendete Berichte beim ersten Start, solange Sie nicht einwilligen.

Auf dem Server. Fehler in unserer Serveranwendung erfassen wir mit Fehlermeldung, Programmstelle, aufgerufener Schnittstelle und Zeitpunkt. Für einen Teil der Anfragen messen wir zusätzlich die Bearbeitungsdauer.

Filter vor dem Versand. Bevor ein Bericht den Browser oder unseren Server verlässt, entfernt ein Filter bekannte Muster personenbezogener Angaben, etwa E-Mail-Adressen, Telefonnummern, IBAN, Versichertennummern und Kennungen in Adressen. Anmeldedaten und Cookies werden nicht übertragen. Der Filter erkennt Muster, keine Namen. Enthält eine Fehlermeldung ausnahmsweise einen Namen, kann er im Bericht stehen. Die Absturzberichte der App durchlaufen diesen Filter nicht, sie enthalten nur die oben genannten technischen Angaben. Beim Empfang speichert GlitchTip die IP-Adresse des sendenden Geräts nur gekürzt zusammen mit dem Bericht: bei IPv4 wird der letzte Block auf null gesetzt, bei IPv6 bleiben nur die ersten vier Blöcke erhalten. Die vollständige Adresse wird nicht gespeichert.

Rechtsgrundlage und Speicherdauer. Rechtsgrundlage für die Fehlerberichte aus Browser und Server ist unser berechtigtes Interesse an einem fehlerfreien und sicheren Betrieb unserer Dienste (Art. 6 Abs. 1 lit. f DSGVO). Rechtsgrundlage für die Absturzberichte der App ist Ihre Einwilligung: für die Speicherung auf Ihrem Gerät § 25 Abs. 1 TDDDG, für die Verarbeitung der Berichte Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Schalter ausschalten (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Fehlerberichte werden nach 90 Tagen automatisch gelöscht. Sie können der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO), per E-Mail an datenschutz@alltagora.de.

42. Abgleich neuer Passwörter mit bekannten Datenlecks

Bei der Registrierung eines Pflege- oder Betreuungsdienstes, beim Start eines Demo-Zugangs, beim Zurücksetzen eines vergessenen Passworts und bei einzelnen weiteren Passwortvergaben prüfen wir, ob das gewählte Passwort bereits in bekannten Datenlecks vorkommt.

So funktioniert die Prüfung: Die Anfrage stellt unser Server, nicht Ihr Browser. Er bildet aus dem Passwort einen SHA-1-Hashwert und übermittelt nur dessen erste fünf Zeichen an den Dienst Pwned Passwords (api.pwnedpasswords.com). Der Dienst antwortet mit den restlichen Zeichen aller ihm bekannten Hashwerte, die mit diesen fünf Zeichen beginnen. Weil wir es anfordern, füllt er jede Antwort nach Angabe des Betreibers mit Scheineinträgen auf 800 bis 1.000 Einträge auf. Ob Ihr Passwort darunter ist, stellen wir auf unserem Server fest. Der Dienst erhält weder Ihr Passwort noch den vollständigen Hashwert, weder Ihre E-Mail-Adresse noch Ihre IP-Adresse, und er erfährt nicht, ob es einen Treffer gab.

Ergebnis und Ausfall: Kommt das Passwort in den Datenlecks vor, lehnen wir es ab. Ist der Dienst nicht erreichbar, antwortet er nicht innerhalb von drei Sekunden oder mit einem Fehler, nehmen wir das Passwort ohne diese Prüfung an. Den übermittelten Anfang des Hashwerts und die Antwort speichern wir nicht.

Anbieter: Pwned Passwords gehört zu Have I Been Pwned, betrieben von der Superlative Enterprises Pty Ltd mit Sitz in Queensland, Australien. Der Dienst erhält nur einen Hashwert-Anfang, den eine Vielzahl von Passwörtern gemeinsam hat, und die Anfrage kommt von unserem Server. Nach unserer Einschätzung werden dabei keine personenbezogenen Daten in ein Drittland übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Zugänge vor einer Übernahme mit bereits veröffentlichten Passwörtern zu schützen. Die Prüfung ist zugleich eine technische Maßnahme zur Sicherheit der Verarbeitung nach Art. 32 DSGVO.

43. Nachverfolgung von Registrierungen und Demo-Zugängen

Registriert sich ein Pflege- oder Betreuungsdienst oder startet jemand einen Demo-Zugang, legen wir neben dem Kundenkonto einen Eintrag für unsere Vertriebsnachverfolgung an. Er enthält den Namen des Dienstes, die gewählte Kennung des Kontos, die E-Mail-Adresse des ersten Administrators, den gewählten Tarif, die Herkunft (Registrierung oder Demo-Zugang) und, sofern angegeben, die E-Mail-Adresse des Dienstes. Unser Team ergänzt den Bearbeitungsstand, die zuständige Person, Zeitpunkte der Bearbeitung, gegebenenfalls den Grund, aus dem kein Vertrag zustande kam, und interne Notizen.

Zweck und Rechtsgrundlage: Wir verfolgen neue Registrierungen und Demo-Zugänge nach, nehmen bei Bedarf Kontakt auf und werten aus, wie viele davon zu Kunden werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Interessenten zu betreuen und unseren Vertrieb zu steuern.

Empfänger: Zugriff haben nur Mitglieder unseres Teams mit der Berechtigung für Marketing. Wir geben die Einträge nicht an Dritte weiter.

Speicherdauer und Widerspruch: Der Eintrag bleibt gespeichert, solange das zugehörige Kundenkonto oder der Demo-Zugang besteht, und wird mit ihm gelöscht: bei einem gekündigten Kundenkonto mit Ablauf der 30-tägigen Frist aus Ziffer 6, bei einem Demo-Zugang nach dessen Ablauf und bei einer nicht abgeschlossenen Registrierung nach 30 Tagen. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen, zum Beispiel per E-Mail an datenschutz@alltagora.de.

44. Anmelde- und Abrufprotokoll des Angehörigen-Portals

Pflege- und Betreuungsdienste können Angehörigen ihrer Klientinnen und Klienten einen Zugang zum Angehörigen-Portal einrichten. Für jeden Portalzugang führen wir ein Protokoll. Ein Eintrag entsteht bei jedem Abruf von Daten der betreuten Person im Portal (Angaben zur Person, Einsätze, Dokumentation, Budget, Rechnungen einschließlich des Rechnungsdokuments, Mitteilungen des Dienstes und Terminanfragen), bei der Abmeldung und bei der Anmeldung mit dem Zugangslink oder Zugangscode des Dienstes. Melden Sie sich mit einem Code oder Link an, den wir Ihnen auf Anforderung per E-Mail senden, halten wir die Anmeldung mit Zeitpunkt und ungekürzter IP-Adresse im Audit-Log des Dienstes fest (Speicherdauer der Audit-Logs nach Ziffer 6), in der App zusätzlich in diesem Protokoll.

Inhalt eines Eintrags: Zeitpunkt, Art des Vorgangs (etwa Anmeldung oder Abruf der Rechnungen), die Zuordnung zu Ihrem Portalzugang und zur betreuten Person, Ihre IP-Adresse, bei IPv4-Adressen ohne den letzten Block (aus 198.51.100.123 wird 198.51.100.0), und die Kennung Ihres Browsers (User-Agent), auf 500 Zeichen begrenzt. Die abgerufenen Inhalte selbst stehen nicht im Protokoll.

Verantwortlichkeit und Zweck: Verantwortlich ist der Pflege- oder Betreuungsdienst, der Ihnen den Zugang eingerichtet hat. Wir führen das Protokoll in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO (Ziffern 10 und 18). Es macht nachvollziehbar, wer wann auf Daten der betreuten Person zugegriffen hat, darunter Gesundheitsdaten, und hilft, missbräuchliche Zugriffe zu erkennen. Die Protokollierung dient der Sicherheit der Verarbeitung, wir setzen sie als technische und organisatorische Maßnahme im Rahmen der Auftragsverarbeitung ein (Art. 28 Abs. 3 lit. c in Verbindung mit Art. 32 DSGVO).

Empfänger und Speicherort: Das Protokoll liegt in unserer Datenbank bei unserem Hosting-Dienstleister in Deutschland (Ziffer 4). Einsehen können es die Administratoren des Dienstes in dessen Verwaltung. Wir geben es nicht an Dritte weiter.

Speicherdauer: Wir löschen die Einträge automatisch, sobald sie älter als 90 Tage sind. Der Löschlauf findet täglich statt.

Ihre Rechte: Anliegen zu diesem Protokoll, etwa Auskunft oder Löschung, richten Sie an den Dienst als verantwortliche Stelle, im Übrigen an uns über die Wege in Ziffer 15.

45. Löschanträge von Angehörigen und Beschäftigten (Löschnachweis)

Pflege- und Betreuungsdienste können in Alltagora den Antrag einer angehörigen Person oder einer beschäftigten Person auf Löschung nach Art. 17 DSGVO erfassen. Daten, die keiner Aufbewahrungspflicht unterliegen, werden dabei sofort gelöscht. Damit der Dienst später belegen kann, dass und wie er den Antrag erledigt hat, legen wir zu jedem Antrag einen Löschnachweis an.

Inhalt des Nachweises: Eingangsdatum des Antrags, ob ihn die betroffene Person selbst, ihre Vertretung oder der Dienst gestellt hat, der Löschgrund nach Art. 17 Abs. 1 DSGVO, das Benutzerkonto, das den Antrag erfasst hat, der Zeitpunkt der Erfassung und das Ergebnis: welche Datenbereiche sofort gelöscht wurden, mit der Zahl der Einträge, und welche aus welchem Grund weiter gespeichert bleiben, mit dem Löschdatum, soweit eines feststeht. Namen und Kontaktdaten der betroffenen Person stehen nicht im Nachweis, die Zuordnung erfolgt über eine interne Nummer. Zusätzlich halten wir die Erfassung im Audit-Log des Dienstes fest, mit Zeitpunkt, erfassendem Benutzerkonto und dessen IP-Adresse (Speicherdauer der Audit-Logs nach Ziffer 6).

Verantwortlichkeit und Zweck: Verantwortlich ist der Pflege- oder Betreuungsdienst, der den Antrag erfasst. Wir führen den Nachweis in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO (Ziffern 10 und 18) und unterstützen ihn damit bei der Beantwortung von Anträgen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Der Nachweis dient der Rechenschaftspflicht des Dienstes nach Art. 5 Abs. 2 DSGVO. Wird derselbe Antrag ein zweites Mal ausgelöst, zeigt das System den vorhandenen Nachweis an und löscht nichts erneut.

Empfänger und Speicherort: Der Nachweis liegt in unserer Datenbank bei unserem Hosting-Dienstleister in Deutschland (Ziffer 4). Die Administratoren des Dienstes sehen ihn bei der Erfassung, außerdem ist er im vollständigen Datenexport des Kundenkontos enthalten. Wir geben ihn nicht an Dritte weiter.

Speicherdauer: Der Nachweis bleibt gespeichert, solange das Kundenkonto oder der Demo-Zugang des Dienstes besteht, und wird mit ihm gelöscht: bei einem gekündigten Kundenkonto mit Ablauf der 30-tägigen Frist aus Ziffer 6.

Ihre Rechte: Anliegen zum Löschnachweis richten Sie an den Dienst als verantwortliche Stelle, im Übrigen an uns über die Wege in Ziffer 15.

46. Werbung per Brief an Pflege- und Betreuungsdienste

Wir stellen Alltagora ambulanten Pflege- und Betreuungsdiensten auch per Brief vor, die bisher keinen Kontakt mit uns hatten. Haben Sie einen solchen Brief erhalten, informiert Sie dieser Abschnitt nach Art. 14 DSGVO darüber, woher wir Ihre Anschrift haben und was wir damit tun.

Was wir verarbeiten

• Name des Dienstes und Postanschrift
• Name der Inhaberin, des Inhabers oder der Leitung, soweit er im Verzeichnis oder im Impressum des Dienstes steht
• Ort und Art des Angebots, zum Beispiel Angebot zur Unterstützung im Alltag
• Datum des Versands und, wenn Sie widersprechen, Datum des Widerspruchs

Daten über Klientinnen, Klienten oder Beschäftigte des Dienstes und Gesundheitsdaten verarbeiten wir dafür nicht.

Woher die Daten stammen

Aus öffentlich zugänglichen Verzeichnissen anerkannter Angebote, insbesondere der Datenbank PfAD.uia des Landes Nordrhein-Westfalen, und aus dem Impressum der Website des Dienstes (Art. 14 Abs. 2 lit. f DSGVO).

Zweck und Rechtsgrundlage

Zweck ist, Ihnen unsere Software per Post vorzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Direktwerbung für unsere Software (Erwägungsgrund 47 DSGVO). Wir schreiben nur Dienste an, für deren Arbeit die Software gedacht ist, und nur per Brief. Werbung per E-Mail oder Telefon schicken wir Ihnen nur mit Ihrer Einwilligung. Ausgenommen sind die E-Mails an Kunden nach einer Kündigung (Ziffer 48) und unsere Befragungen von Kunden (Ziffer 49).

Empfänger und Speicherort

Die Versandliste liegt bei unserem Hosting-Dienstleister in Deutschland (Ziffer 4). Den Brief stellt die Deutsche Post AG zu, sie erhält dafür nur die Anschrift auf dem Umschlag. Wir geben die Liste nicht an Dritte weiter.

Speicherdauer

Melden Sie sich nicht, löschen wir Ihre Daten spätestens 12 Monate nach dem Versand. Melden Sie sich bei uns, gelten ab dann die Ziffern 21 (Kontaktformular) und 22 (Demo-Terminbuchung). Widersprechen Sie, löschen wir Ihre Daten aus der Versandliste und behalten nur Name und Anschrift des Dienstes in einer Sperrliste. Sie dient allein dazu, dass Sie keinen weiteren Werbebrief von uns erhalten. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO: Einen Widerspruch können wir nur beachten, wenn wir wissen, dass er erklärt wurde.

Widerspruch (Art. 21 Abs. 2 und 3 DSGVO)

Sie können der Verwendung Ihrer Daten für Werbung jederzeit und ohne Begründung widersprechen. Eine kurze Nachricht an datenschutz@alltagora.de oder per Post an die Anschrift in Ziffer 15 genügt. Danach erhalten Sie von uns keine Werbung mehr. Ihre übrigen Rechte stehen in Ziffer 7.

47. Datenumzug aus einem Altsystem

Auf Wunsch eines Pflege- oder Betreuungsdienstes übernehmen wir die Übertragung seiner Altdaten in sein Alltagora-Konto. Dazu stellt uns der Dienst eine Exportdatei seines bisherigen Systems bereit, in der Regel im CSV-Format. Sie kann Stammdaten von Klientinnen und Klienten, Angehörigen und Beschäftigten sowie Gesundheits- und Pflegedaten (Art. 9 DSGVO) enthalten.

Rolle und Rechtsgrundlage: Für die Daten in der Importdatei ist der Pflege- oder Betreuungsdienst verantwortlich. Wir verarbeiten sie ausschließlich in seinem Auftrag und nach seiner Weisung auf Grundlage des Auftragsverarbeitungsvertrags (Art. 28 DSGVO, dort Anlage 1). Die Rechtsgrundlage für die Verarbeitung selbst ergibt sich aus dem Verhältnis zwischen dem Dienst und den betroffenen Personen. Die Kontaktdaten der Ansprechpersonen des Dienstes, mit denen wir den Umzug abstimmen, verarbeiten wir zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Zweck: Wir verwenden die Datei nur, um ihre Inhalte in das Konto des beauftragenden Dienstes einzulesen und das Ergebnis mit ihm abzustimmen. Eine Verwendung zu anderen Zwecken und eine Weitergabe an Dritte finden nicht statt.

Speicherdauer: Für die Vorschau vor dem endgültigen Import hält unsere Anwendung den Dateiinhalt höchstens 10 Minuten in einem Zwischenspeicher auf unseren Servern in Deutschland. Alle bei uns vorhandenen Kopien der Importdatei löschen wir unverzüglich nach Abschluss des Imports. Die eingelesenen Datensätze sind danach Teil des Kontos des Dienstes und werden nach den Regeln des Auftragsverarbeitungsvertrags gelöscht. Ihre Rechte aus Ziffer 7 richten Sie bitte an den Pflege- oder Betreuungsdienst, wir unterstützen ihn dabei.

48. Kündigung Ihres Abonnements und E-Mails danach

Dieser Abschnitt beschreibt, was wir verarbeiten, wenn ein Betrieb sein Abonnement bei uns kündigt.

Was dabei gespeichert wird

• der Zeitpunkt der Kündigung
• die Person, die gekündigt hat, also ihr Benutzerkonto bei uns
• die Kennung des Abonnements bei unserem Zahlungsdienstleister Stripe (Ziffer 4)
• freiwillig ein Grund für die Kündigung: eine Auswahl aus einer festen Liste und, wenn Sie möchten, ein eigener Text. Den Text speichern wir verschlüsselt. Sie können die Frage leer lassen, die Kündigung gilt trotzdem.

Bitte tragen Sie in das Textfeld keine Klienten-, Beschäftigten- oder Gesundheitsdaten ein. Für Ihre Rückmeldung brauchen wir sie nicht.

Zweck und Rechtsgrundlage

Zeitpunkt, Person und Kennung des Abonnements brauchen wir, um die Kündigung abzuwickeln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Den Grund für die Kündigung werten wir aus, um unser Angebot zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, zu erfahren, warum Betriebe uns verlassen.

Die E-Mails nach der Kündigung

Nach der Kündigung erhalten Sie eine Bestätigung per E-Mail. Sie gehört zur Abwicklung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Außerdem schicken wir Ihnen höchstens zwei weitere E-Mails: eine 7 Tage vor dem Ende Ihres Vertrags und eine 14 Tage nach dem Ende. Darin bieten wir Ihnen an, Ihr Abonnement fortzusetzen oder neu zu buchen. Das ist Werbung per E-Mail für unsere eigene Software. Wir nutzen dafür die E-Mail-Adresse, die wir von Ihnen im Rahmen Ihres Vertrags mit uns erhalten haben (§ 7 Abs. 3 UWG). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Direktwerbung bei unseren Kunden (Erwägungsgrund 47 DSGVO).

Widerspruch gegen diese Werbung (Art. 21 Abs. 2 und 3 DSGVO, § 7 Abs. 3 UWG)

Sie können der Verwendung Ihrer E-Mail-Adresse für diese Werbung jederzeit und ohne Begründung widersprechen. Dafür entstehen Ihnen keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Jede dieser E-Mails enthält dafür einen Link zum Abmelden. Eine kurze Nachricht an datenschutz@alltagora.de genügt ebenso. Danach schicken wir Ihnen diese E-Mails nicht mehr. Ihre übrigen Rechte stehen in Ziffer 7.

Speicherdauer

Die Angaben zur Kündigung einschließlich des Grundes löschen wir zusammen mit Ihrem Mandanten, also 30 Tage nach dem Ende Ihres Vertrags (Ziffer 6). Einen Widerspruch gegen die Werbe-E-Mails speichern wir als Sperre, solange Ihr Mandant bei uns besteht. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO: Einen Widerspruch können wir nur beachten, wenn wir wissen, dass er erklärt wurde.

Empfänger

Die Angaben liegen bei unserem Hosting-Dienstleister in Deutschland (Ziffer 4). Die E-Mails versenden wir über unseren Mailserver bei ALL-INKL.COM in Deutschland (Ziffer 4).

49. Befragungen zu Ihrer Zufriedenheit

Dieser Abschnitt beschreibt, was wir verarbeiten, wenn wir Kunden per E-Mail fragen, wie zufrieden sie mit Alltagora sind.

Wann wir fragen

Wir schreiben je Betrieb eine Person an, die das Konto verwaltet (Rolle Administration). Die erste kurze Frage kommt etwa eine Woche nach der Registrierung. Später fragen wir nach etwa 30 und 90 Tagen und danach höchstens zweimal im Jahr, ob Sie Alltagora weiterempfehlen würden. Wenn Ihr Betrieb die erste Rechnung mit Alltagora verschickt hat, fragen wir einmal, wie gut das geklappt hat. Dieselbe Person bekommt höchstens alle 60 Tage eine solche E-Mail.

Was dabei gespeichert wird

• wann wir die E-Mail geschickt haben, aus welchem Anlass und an welches Benutzerkonto
• Ihre Antwort: ein Wert von 0 bis 10 und, wenn Sie möchten, ein eigener Text. Den Text speichern wir verschlüsselt.
• wann Sie geantwortet haben
• ein Widerspruch, wenn Sie keine solchen E-Mails mehr möchten

Ihre Antwort ist nicht anonym. Wir sehen, aus welchem Betrieb und von welchem Benutzerkonto sie kommt, damit wir bei Problemen nachfragen können. Die Antwort ist freiwillig. Wer nicht antwortet, hat keine Nachteile.

Bitte tragen Sie in das Textfeld keine Klienten-, Beschäftigten- oder Gesundheitsdaten ein. Für Ihre Rückmeldung brauchen wir sie nicht.

Zweck und Rechtsgrundlage

Wir werten die Antworten aus, um unser Angebot zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, zu erfahren, wie zufrieden unsere Kunden sind und was wir besser machen können.

Wir behandeln diese E-Mails wie Werbung per E-Mail. Wir schicken sie nur an die E-Mail-Adresse, die wir von Ihnen im Rahmen Ihres Vertrags mit uns erhalten haben, und nur zu unserer eigenen Software (§ 7 Abs. 3 UWG). Eine Einwilligung holen wir dafür nicht ein.

Widerspruch gegen diese E-Mails (Art. 21 Abs. 2 und 3 DSGVO, § 7 Abs. 3 UWG)

Sie können der Verwendung Ihrer E-Mail-Adresse für diese Befragungen jederzeit und ohne Begründung widersprechen. Dafür entstehen Ihnen keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Jede dieser E-Mails enthält dafür einen Link zum Abmelden. Eine kurze Nachricht an datenschutz@alltagora.de genügt ebenso. Ein Widerspruch gilt für Ihren ganzen Betrieb und zugleich für die E-Mails nach einer Kündigung (Ziffer 48). Ihre übrigen Rechte stehen in Ziffer 7.

Speicherdauer

Einladungen, Antworten und einen Widerspruch löschen wir zusammen mit Ihrem Mandanten (Ziffer 6). Einen Widerspruch speichern wir bis dahin als Sperre. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO: Einen Widerspruch können wir nur beachten, wenn wir wissen, dass er erklärt wurde.

Empfänger

Die Angaben liegen bei unserem Hosting-Dienstleister in Deutschland (Ziffer 4). Die E-Mails versenden wir über unseren Mailserver bei ALL-INKL.COM in Deutschland (Ziffer 4).