PraxismosaikAnmelden

Datenschutzerklärung

Hier erfahren Sie, welche personenbezogenen Daten Praxismosaik verarbeitet, wer dafür verantwortlich ist, an wen Daten gehen und welche Rechte Sie haben.

Wer verantwortlich ist

Praxismosaik verarbeitet zwei Arten von Daten, und für jede ist jemand anderes verantwortlich.

Das Konto einer Praxis und diese Website. Verantwortlich ist die pageBody GmbH, Bahnstr. 12, 65205 Wiesbaden, Deutschland. Für alle Fragen zum Datenschutz erreichen Sie uns unter info@pagebody.de. Weitere Angaben finden Sie im Impressum.

Die Daten, die eine Praxis mit Praxismosaik verarbeitet. Dazu gehören die Einstellungen der Praxis und alles, was Eltern bei der Anmeldung ihres Kindes angeben. Verantwortlich dafür ist die jeweilige Praxis. Die pageBody GmbH verarbeitet diese Daten nur im Auftrag und nach Weisung der Praxis (Art. 28 DSGVO). Wenn Sie als Eltern Fragen zu diesen Daten haben, wenden Sie sich bitte an Ihre Praxis.

Das Wichtigste in Kürze

  • Praxismosaik läuft auf Servern in einem Rechenzentrum in Deutschland.
  • Jede Praxis erhält eine eigene Datenbankdatei, getrennt von allen anderen Praxen.
  • Vor- und Nachnamen von Kindern speichern wir nicht.
  • Passwörter für Praxismosaik speichern wir nur als Hashwert. Die Zugangsdaten zum E-Mail-Postfach einer Praxis speichern wir verschlüsselt.
  • Wir setzen nur technisch notwendige Cookies, keine Werbe-, Analyse- oder Tracking-Cookies.
  • Die Website lädt keine Skripte, Schriften oder sonstigen Inhalte von fremden Servern.
  • E-Mails an Eltern verschickt Praxismosaik über das Postfach der Praxis, nicht über ein Postfach der pageBody GmbH.

Das Konto einer Praxis

Für diese Daten ist die pageBody GmbH verantwortlich.

  1. Registrierung. Sie geben Ihre E-Mail-Adresse, ein Passwort und einen Praxis-Link an. Wir speichern die E-Mail-Adresse, den Praxis-Link und das Passwort als Hashwert (Verfahren argon2id). Danach senden wir Ihnen eine E-Mail mit einem Bestätigungslink, der 24 Stunden gültig ist. Anmelden können Sie sich erst, wenn Sie Ihre E-Mail-Adresse bestätigt haben.
  2. Anmeldung. Nach der Anmeldung setzen wir ein Cookie, das Sie angemeldet hält (siehe „Cookies“).
  3. Passwort vergessen. Auf Anfrage senden wir Ihnen einen Link, mit dem Sie ein neues Passwort festlegen. Er ist eine Stunde gültig und nur einmal verwendbar.
  4. Module. Wir speichern, welche Module Ihr Konto nutzen kann.
  5. Produkt-Neuigkeiten. Nur wenn Sie das bei der Registrierung ankreuzen. Wir senden Ihnen dann einen Bestätigungslink, der 14 Tage gültig ist, und schicken Neuigkeiten erst, nachdem Sie ihn angeklickt haben. Als Nachweis Ihrer Einwilligung speichern wir, wann Sie sie erteilt haben, wann die Bestätigungs-E-Mail versendet wurde und wann Sie bestätigt haben. Sie können die Einwilligung jederzeit per E-Mail an info@pagebody.de widerrufen. E-Mails zu Ihrem Konto, etwa zum Zurücksetzen des Passworts, erhalten Sie unabhängig davon.

Aufruf der Website

Damit eine Seite ausgeliefert werden kann, verarbeitet der Server Ihre IP-Adresse. Praxismosaik selbst speichert keine IP-Adressen und protokolliert keine Seitenaufrufe. Die Schriften liefern wir von unserem eigenen Server aus, und die Website lädt keine Inhalte von fremden Servern.

Cookies

Praxismosaik setzt zwei Cookies. Beide sind technisch notwendig:

  • fs_session hält eine Praxis nach der Anmeldung angemeldet.
  • fs_eltern hält Eltern nach der Anmeldung angemeldet.

Beide enthalten eine signierte Angabe, wer angemeldet ist und bis wann. Sie sind für Skripte nicht lesbar, werden nur über verschlüsselte Verbindungen übertragen und gelten höchstens zwölf Stunden ab der Anmeldung. Beim Abmelden werden sie gelöscht. Weil sie für den Dienst, den Sie nutzen, unbedingt erforderlich sind, ist dafür keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Andere Cookies setzen wir nicht.

Daten, die eine Praxis mit Praxismosaik verarbeitet

Für diese Daten ist die jeweilige Praxis verantwortlich. Die pageBody GmbH verarbeitet sie nur in ihrem Auftrag. Sie liegen in der eigenen Datenbankdatei der Praxis.

  1. Einstellungen der Praxis. Unter anderem Praxisname, Absenderadresse, Antwortadresse, Signatur, die Texte für Eltern und die Zugangsdaten zum E-Mail-Postfach der Praxis. Die Zugangsdaten speichern wir verschlüsselt (AES-256-GCM). Der Schlüssel liegt getrennt von den Daten.
  2. Anmeldung eines Kindes. Eltern geben Vorname, Nachname und Geburtsdatum des Kindes, ihre E-Mail-Adresse und ein Passwort an. Vor- und Nachname speichern wir nicht. Aus den Angaben gebildet und gespeichert werden:
    • die Chiffre: der Anfangsbuchstabe des Nachnamens und das Geburtsdatum im Format TTMMJJ, wie es § 26 der Psychotherapie-Vereinbarung vorsieht,
    • das Kürzel: die ersten zwei Buchstaben des Vornamens und die ersten zwei Buchstaben des Nachnamens,
    • das Alter des Kindes am Tag der Anmeldung.

    Außerdem speichern wir die E-Mail-Adresse, das Passwort als Hashwert (argon2id) und die Zeitpunkte der Anmeldung und ihrer Bestätigung. Wenn sich Eltern später mit ihrem Passwort anmelden, geben sie Namen und Geburtsdatum des Kindes erneut ein. Daraus werden Chiffre und Kürzel noch einmal gebildet und mit den gespeicherten verglichen.

  3. Wunschzeiten. Die Wochenstunden, zu denen das Kind kommen kann.
  4. Berechnung. Aus den Wunschzeiten aller Kinder berechnet Praxismosaik einen Vorschlag, welches Kind welche Stunde erhält, und speichert jede Berechnung. Die Praxis prüft den Vorschlag und entscheidet selbst. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.
  5. E-Mails an Eltern. Praxismosaik versendet sie über das E-Mail-Postfach der Praxis, mit deren Zugangsdaten, und schickt jeweils eine Kopie an die Absenderadresse der Praxis. Das sind die Bestätigung der Anmeldung (mit einem Link, der 24 Stunden gültig ist), die Eingangsbestätigung der Wunschzeiten und der Link zum Zurücksetzen des Passworts (eine Stunde gültig, nur einmal verwendbar). Ist die Planung abgeschlossen, folgt die Terminbestätigung oder die Nachricht, dass kein passender Termin gefunden wurde. Zu jeder E-Mail speichern wir die Empfängeradresse, die Art der E-Mail, den Zeitpunkt und ob der E-Mail-Server sie angenommen hat.

Welche Rechtsgrundlage die Praxis für diese Verarbeitung heranzieht, erfahren Sie von Ihrer Praxis. Die Angaben zu Ihrem Kind und Ihre Terminwünsche kann die Praxis jederzeit löschen; nach dem Versand der Terminbestätigungen löscht die Software sie spätestens zwei Monate später automatisch. An Ihre Praxis richten Sie als Eltern auch Anfragen zu Ihren Rechten. Wir unterstützen die Praxis dabei.

Dienstleister

  • Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) stellt die Server bereit, auf denen Praxismosaik läuft, in einem Rechenzentrum in Deutschland. Dort liegen alle Datenbanken, auch die der Praxen. Hetzner verarbeitet die Daten nur in unserem Auftrag und ausschließlich in der EU.
  • Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) versendet die E-Mails an Konten von Praxen: die Bestätigung der E-Mail-Adresse, das Zurücksetzen des Passworts und die Bestätigung der Produkt-Neuigkeiten. Dabei erhält Resend die E-Mail-Adresse und den Inhalt der jeweiligen E-Mail. Resend speichert Kontodaten, Metadaten und Protokolle in den USA. E-Mails an Eltern laufen nicht über Resend.

Rechtsgrundlagen

  • Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Registrierung, Anmeldung, Zurücksetzen des Passworts, Module und die E-Mails zu Ihrem Konto.
  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Produkt-Neuigkeiten. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
  • Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO): der Nachweis Ihrer Einwilligung.
  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): die Auslieferung der Website sowie Sicherheit und Betrieb des Dienstes.
  • § 25 Abs. 2 Nr. 2 TDDDG: die technisch notwendigen Cookies.
  • Auftragsverarbeitung (Art. 28 DSGVO): alle Daten, die wir im Auftrag einer Praxis verarbeiten.

Übermittlung in Drittländer

Die Server stehen in Deutschland; dafür werden keine Daten in ein Drittland übermittelt. Resend hat seinen Sitz in den USA. Grundlage der Übermittlung ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework, Art. 45 DSGVO). Resend ist unter diesem Rahmen zertifiziert. Ergänzend enthält Resends Auftragsverarbeitungsvertrag die Standardvertragsklauseln der Europäischen Kommission. Daten von Eltern und Kindern übermitteln wir nicht an Resend.

Speicherdauer

  • Konto einer Praxis: solange das Konto besteht. Sie können das Konto jederzeit selbst in den Einstellungen löschen. Die Löschung erfolgt sofort, umfasst alle Daten der Praxis und lässt sich nicht rückgängig machen. Den Praxis-Link bewahren wir danach nur als Hashwert auf, der den Link selbst nicht enthält, damit ein alter Link nie zu einer anderen Praxis führt.
  • Angemeldet bleiben: höchstens zwölf Stunden.
  • Links in E-Mails: Bestätigung 24 Stunden, neues Passwort eine Stunde, Produkt-Neuigkeiten 14 Tage. Danach sind sie wirkungslos.
  • Nachweis einer Einwilligung: solange die Einwilligung besteht und wir sie nachweisen müssen.
  • Daten, die eine Praxis verarbeitet: Die Angaben eines Zyklus kann die Praxis jederzeit löschen; nach dem Versand der Terminbestätigungen löscht die Software sie spätestens zwei Monate später automatisch. Endet der Vertrag mit der Praxis, löschen wir sie nach den Regeln des Auftragsverarbeitungsvertrags.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Eine Einwilligung können Sie jederzeit widerrufen (Art. 7 Abs. 3 DSGVO). Schreiben Sie dazu an info@pagebody.de. Für Daten, die eine Praxis verarbeitet, wenden Sie sich bitte an die Praxis. Ihr Konto können Sie außerdem jederzeit selbst in den Einstellungen löschen.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für die pageBody GmbH ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wilhelmstraße 7, 65185 Wiesbaden.

Pflicht zur Angabe

Für das Konto einer Praxis brauchen wir eine E-Mail-Adresse, ein Passwort und einen Praxis-Link. Ohne diese Angaben können wir kein Konto anlegen. Die Anmeldung zu Produkt-Neuigkeiten ist freiwillig.

Für die Anmeldung eines Kindes braucht die Praxis Vorname, Nachname und Geburtsdatum des Kindes, eine E-Mail-Adresse und ein Passwort. Ohne diese Angaben ist keine Anmeldung möglich.