Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Rahmen dieser VVTPro-Instanz ist:

[Vorname Nachname / Firmenname]
[Straße und Hausnummer]
[PLZ] [Ort]
E-Mail: [E-Mail-Adresse]
Telefon: [Telefonnummer]

2. Welche Daten werden verarbeitet?

VVTPro verarbeitet ausschließlich die Daten, die Sie selbst eingeben. Es erfolgt keine Übermittlung an externe Dienste, keine Werbung, kein Tracking.

2.1 Kontodaten (bei Registrierung)

• E-Mail-Adresse (Pflichtfeld, dient als Login-Kennung)
• Passwort (wird als bcrypt-Hash gespeichert, nie im Klartext)
• Name der Praxis / des Unternehmens
• Praxistyp, verantwortliche Person, Anschrift, Telefon, Praxis-E-Mail
• Daten zum Datenschutzbeauftragten (falls angegeben)
• Zeitstempel: Registrierungszeitpunkt, letzter Login

2.2 Verarbeitungstätigkeiten (Kerndaten der Anwendung)

• Inhalte des Verarbeitungsverzeichnisses gem. Art. 30 DSGVO
• Versionsstände (vollständige Snapshots bei jeder Änderung)
• Freigabestatus und Freigabezeitpunkte

2.3 Technische Protokolldaten (Audit-Log)

• Aktionstyp (Erstellt, Geändert, Gelöscht, Freigegeben, Passwort geändert)
• Zeitstempel der Aktion
• Referenz auf den betroffenen Datensatz

Das Audit-Log dient der Nachvollziehbarkeit von Änderungen und ist Bestandteil eines rechtssicheren Verarbeitungsverzeichnisses.

2.4 Sitzungsdaten (Session-Cookie)

Nach dem Login wird ein technisch notwendiger Sitzungs-Cookie (vvtpro_token) gesetzt. Dieser enthält ein signiertes JWT (JSON Web Token) mit Ihrer Nutzer-ID und E-Mail. Der Cookie ist httpOnly und SameSite=Strict — er ist nicht über JavaScript auslesbar und wird nicht an Dritte übertragen. Er läuft nach 8 Stunden ab.

3. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Die Datenverarbeitung ist notwendig, um Ihnen die Nutzung von VVTPro zu ermöglichen.
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung: Das Audit-Log dient der Sicherstellung der Nachvollziehbarkeit gem. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse: Sicherheitsprotokollierung zur Erkennung unberechtigter Zugriffe.

4. Speicherort und Datensicherheit

Alle Daten werden ausschließlich auf dem Server gespeichert, auf dem diese VVTPro-Instanz betrieben wird. Es erfolgt keine Übertragung in die Cloud oder an Drittanbieter. Der Speicherort liegt vollständig unter Ihrer Kontrolle.

Technische Schutzmaßnahmen:

• Passwörter: bcrypt-Hashing (Kostenfaktor 12)
• Authentifizierung: JWT in httpOnly-Cookie (kein JavaScript-Zugriff)
• Verbindung: HTTPS wird dringend empfohlen (HTTP-Warnung wird angezeigt)
• HTTP-Sicherheitsheader: via Helmet.js (CSP, HSTS, X-Frame-Options, etc.)
• SQL-Injection-Schutz: Ausschließlich Prepared Statements
• Mandantentrennung: Alle Datenbankabfragen sind auf die eigene User-ID beschränkt

5. Speicherdauer

• Kontodaten und Verarbeitungen: Bis zur Löschung durch Sie (Art. 17 DSGVO)
• Audit-Log: Solange Ihr Konto besteht; wird bei Kontolöschung ebenfalls gelöscht
• Session-Cookie: Läuft nach 8 Stunden automatisch ab oder wird bei Logout gelöscht

Bei Kontolöschung werden sämtliche Daten (Konto, Verarbeitungen, Versionen, Audit-Log) unwiderruflich gelöscht (CASCADE).

6. Keine Weitergabe an Dritte

VVTPro übermittelt keine personenbezogenen Daten an Dritte. Es werden keine externen Analyse-, Tracking- oder Werbedienste eingebunden. Es gibt keine Schnittstellen zu US-amerikanischen oder sonstigen Cloud-Diensten.

7. Ihre Rechte als betroffene Person

• Auskunft (Art. 15 DSGVO): Sie können jederzeit über die gespeicherten Daten Auskunft verlangen.
• Berichtigung (Art. 16 DSGVO): Unter „Praxisdaten" können Sie Ihre Daten jederzeit korrigieren.
• Löschung (Art. 17 DSGVO): Unter „Praxisdaten" können Sie Ihr Konto und alle Daten dauerhaft löschen.
• Datenübertragbarkeit (Art. 20 DSGVO): Unter „Praxisdaten" steht ein vollständiger JSON-Export bereit.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung jederzeit widersprechen.
• Beschwerde: Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren.

Zur Ausübung Ihrer Rechte wenden Sie sich an: [E-Mail-Adresse des Betreibers]

8. Zuständige Aufsichtsbehörde

Die zuständige Datenschutz-Aufsichtsbehörde richtet sich nach dem Bundesland des Betreibers. Eine Übersicht aller deutschen Aufsichtsbehörden finden Sie unter: bfdi.bund.de

9. Hinweis zur Software

VVTPro ist eine selbst gehostete Softwarelösung. Der Betreiber dieser Instanz ist datenschutzrechtlich Verantwortlicher — nicht der Softwareentwickler. Diese Datenschutzerklärung beschreibt das Verhalten der Software; der Betreiber trägt die Verantwortung für den ordnungsgemäßen Betrieb und die Sicherheit des Servers.