Datenschutzerklärung

Über das Klientinnen-Portal siehst du deine Termine, füllst deine Anamnese aus, gibst deine Einwilligungen und findest deine Rechnungen und Unterlagen. Verantwortlich für deine Daten ist der Betrieb deiner Hebamme. Wir, die quebi GmbH, betreiben das Portal in seinem Auftrag und verarbeiten deine Daten nur nach seiner Weisung.

Das Portal läuft ausschließlich auf Servern in der EU, setzt keine Tracking-, Analyse- oder Werbe-Werkzeuge ein und lädt keine Schriften oder Skripte von fremden Servern.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für alles, was das Portal dir zeigt und von dir speichert, ist der Betrieb deiner Hebamme — seinen Namen siehst du im Portal bei deinen Unterlagen. Wofür er deine Daten verarbeitet, auf welcher Rechtsgrundlage und wie lange er sie aufbewahren muss, erfährst du von deiner Hebamme.

Wir betreiben das Portal für ihn als Auftragsverarbeiter (Art. 28 DSGVO), auf Grundlage eines Auftragsverarbeitungsvertrags. Betreiber ist:

quebi GmbH
Geitau 22
83735 Bayrischzell
Deutschland
Vertreten durch: Max Schurig, Florian Pirchmoser
E-Mail: hi@quebi.de

Nutzt du das Portal mit mehreren Betrieben, bleibt für jeden Eintrag der Betrieb verantwortlich, von dem er stammt.

Öffnest du den Link, den dir deine Hebamme schickt, bestätigst du zuerst dein Geburtsdatum; erst danach zeigt dir das Portal etwas über dich. Den Link speichern wir nur als nicht rückrechenbaren Hash. Wir zählen Fehlversuche und sperren den Link nach zu vielen davon für eine Weile.

Legst du dir einen eigenen Zugang mit E-Mail-Adresse und Passwort an, speichern wir das Passwort ebenfalls nur als Hash und begrenzen Anmeldeversuche je E-Mail-Adresse und je IP-Adresse. Hast du deinen Zugang selbst mit den Links mehrerer Betriebe verbunden, zeigt dir das Portal deine Unterlagen von allen zusammen. Keiner der Betriebe sieht dabei etwas vom anderen — zusammen siehst nur du sie. Einwilligungen und Anamnese gibst du jedem Betrieb einzeln.

Nach der Anmeldung bekommst du eine Sitzung. Zu ihr speichern wir ein Sitzungs-Token als Hash, den Zeitpunkt, deine Browser-Kennung und die IP-Adresse der Anmeldung.

Das Portal setzt ausschließlich diese zwei technisch notwendigen Cookies. Ohne sie funktionieren Anmeldung und Formulare nicht, deshalb brauchen sie nach § 25 Abs. 2 TDDDG keine Einwilligung — und darum gibt es auch kein Cookie-Banner.

Bei jedem Aufruf protokolliert der Server technische Zugriffsdaten: aufgerufene Seite, Datum und Uhrzeit, Statuscode und die Dauer der Verarbeitung. Die aufgerufene Seite steht dort nur als Vorlage (etwa /:token), nie mit deinem persönlichen Link; Cookies werden vor dem Speichern entfernt. Wir werten die Logs nur technisch aus — für Betrieb, Sicherheit und Fehlersuche — und löschen sie nach 30 Tagen automatisch.

Tritt im Portal in deinem Browser ein technischer Fehler auf, schickt dein Browser einen Fehlerbericht an unseren eigenen Server: die Art des Fehlers, die Fehlermeldung, die Stelle im Programmcode, die Seite als Vorlage (etwa /:token, ohne deinen Link), die Programmversion, die zuletzt aufgerufenen Seiten ebenfalls als Vorlage und die letzten Anfragen an unseren Server mit Statuscode, Dauer und einer zufälligen Kennung. Bei etwa jedem zehnten Seitenaufruf misst dein Browser außerdem, wie schnell das Portal für dich lädt und reagiert, und schickt nur diese Zahlen.

Beides hat kein Feld für deinen Namen, deine E-Mail-Adresse, Cookies, Formulareingaben oder Seiteninhalte. Was in einer Fehlermeldung trotzdem wie eine Web-Adresse mit Kennung, eine E-Mail-Adresse, eine IBAN, eine Krankenversichertennummer oder eine längere Ziffernfolge aussieht, entfernt unser Server vor dem Speichern. Von deinem Browser speichern wir nur Typ und Hauptversion; deine IP-Adresse nutzt der Server nur kurz, um missbräuchlich viele Berichte abzuweisen, und speichert sie nicht.

Die Berichte gehen an keinen Dritten und keinen Analyse-Dienst. Rechtsgrundlage ist das berechtigte Interesse, Fehler und langsame Stellen zu finden und zu beheben, bevor sie dich aufhalten (Art. 6 Abs. 1 lit. f DSGVO); weil das für den Betrieb des Portals unbedingt erforderlich ist, braucht es nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung. Einzelne Berichte löschen wir nach 30 Tagen, daraus gebildete Zählwerte nach etwa drei Monaten.

Über „Problem melden“ im Menü „Mein Konto“ kannst du uns schreiben, dass im Portal etwas nicht funktioniert. Der Bericht geht an uns, nicht an deine Hebamme. Mit deinem Text speichern wir den Betrieb deiner Hebamme, dein Konto (falls du einen eigenen Zugang hast) und dieselben technischen Angaben wie bei einem Fehlerbericht — nicht, welche Klientin du bist.

Deinen Text speichern wir, damit wir ihn lesen können, nicht verschlüsselt. Vorher entfernt unser Server, was wie eine E-Mail-Adresse, eine IBAN, eine Krankenversichertennummer oder eine längere Ziffernfolge aussieht; Namen erkennt er nicht. Schreib deshalb bitte nichts über deine Gesundheit hinein. Nach 90 Tagen löschen wir den Bericht automatisch.

Für den Betrieb des Portals setzen wir zwei Dienstleister ein, jeweils mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und ausschließlich in der EU:

• OVH (OVH SAS/OVH GmbH) — Hosting, Datenbank, Dateiablage, Schlüsselverwaltung und verschlüsselte Backups. Rechenzentrum Frankfurt, Deutschland.
• Lettermint (Lettermint B.V., Niederlande) — Versand der E-Mails, die du fürs Portal bekommst, etwa wenn du dir einen eigenen Zugang anlegst oder dein Passwort zurücksetzt. Übermittelt werden deine E-Mail-Adresse und der Inhalt der jeweiligen E-Mail.

Eine Übermittlung in ein Land außerhalb der EU findet nicht statt. Folgst du einem Link aus dem Portal auf eine andere Seite, gibt dein Browser nicht weiter, von welcher Portal-Seite du kommst.

Dir stehen die Rechte aus Art. 15 bis 21 DSGVO zu: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Geltend machst du sie beim Betrieb deiner Hebamme, denn er ist verantwortlich. Eine Einwilligung, die du im Portal gegeben hast, kannst du jederzeit mit Wirkung für die Zukunft widerrufen — selbst, hier im Portal unter „Einwilligungen“, genauso einfach, wie du sie gegeben hast.

Eine Kopie deiner Daten im offenen JSON-Format lädst du dir jederzeit selbst herunter: im Menü „Mein Konto“ unter „Datenschutz“. Fragen zu Fehler- und Problemberichten kannst du auch direkt an uns richten: hi@quebi.de.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).

Wir passen diese Datenschutzerklärung an, wenn sich ändert, was das Portal verarbeitet — etwa weil eine Funktion oder ein Dienstleister hinzukommt. Es gilt jeweils die hier veröffentlichte Fassung.