Datenschutzerklärung

Informationen nach Art. 13 und 14 Datenschutz-Grundverordnung (DSGVO)

1. Verantwortlicher

2. Wofür diese Hinweise gelten

Diese Hinweise gelten für den Aufruf der MANDREO-Webanwendung, für die Benutzerkonten der Büroangehörigen und für die Verarbeitung von Daten in der beruflichen Betreuungsarbeit. MANDREO verwendet keine Werbe-, Reichweiten- oder Profiling-Dienste.

3. Aufruf der Website und Sicherheitsprotokolle

Beim Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufenen Pfad, Antwortstatus sowie Browser- und Geräteangaben. Dies dient der sicheren Bereitstellung, Fehleranalyse und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sicherheits-Auditdaten innerhalb von MANDREO werden nach 180 Tagen gelöscht. Zusätzliche technische Webserver-Protokolle werden nur so lange aufbewahrt, wie dies für Betrieb und Sicherheit erforderlich ist.

4. Anmeldung, Sitzung und lokale Speicherung

Für die Anmeldung wird das technisch notwendige, verschlüsselt übertragene Cookie mandreo_session verwendet. Es ist als Secure, HttpOnly und SameSite=Strict gesetzt und läuft spätestens nach 8 Stunden ab. Zusätzlich speichert der Browser ausschließlich einen technischen Kennwert zur Trennung von Haupt- und Testbereich. Diese Speicherung ist zur Bereitstellung des ausdrücklich gewünschten Dienstes erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Ein Einwilligungsbanner ist dafür nicht erforderlich.

5. Benutzer- und Betreuungsdaten

Verarbeitet werden – abhängig vom jeweiligen Aufgabenbereich – Benutzer- und Kontaktdaten, Stammdaten betreuter Personen, gerichtliche Daten und Aktenzeichen, Aufgaben und Termine, Schriftverkehr und Dokumente, Vermögens-, Bank-, Leistungs- und Schuldendaten sowie Gesundheits-, Pflege- und Behinderungsdaten. Die konkrete Rechtsgrundlage der Betreuungsarbeit ergibt sich aus der gerichtlichen Bestellung, dem angeordneten Aufgabenbereich und den gesetzlichen Pflichten des Verantwortlichen; sie ist für den jeweiligen Verarbeitungsvorgang zu bestimmen. In Betracht kommen insbesondere Art. 6 Abs. 1 lit. c und e DSGVO sowie bei besonderen Kategorien personenbezogener Daten Art. 9 Abs. 2 DSGVO und § 22 BDSG.

MANDREO trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung. Automatisch erzeugte Hinweise und Entwürfe sind Arbeitshilfen und müssen fachlich geprüft werden.

6. Hosting und Sicherungen

Die Anwendung und die verschlüsselten Sicherungen werden bei Hetzner in Deutschland betrieben. Mit dem Hostinganbieter besteht ein Vertrag zur Auftragsverarbeitung. Sicherungen werden verschlüsselt übertragen und gespeichert; Wiederherstellungstests werden protokolliert.

7. E-Mail, Banking und KI

E-Mail

Für die E-Mail-Funktion ist derzeit ein vom Verantwortlichen ausgewählter Mailanbieter angebunden. Beim Abruf oder Versand werden Absender-, Empfänger-, Inhalts- und Anhangsdaten an diesen Anbieter übertragen.

Banking

Die BANKSapi-Schnittstelle ist aktiviert. Nur nach einer bewussten Verknüpfung werden Zugangs-, Konto- und Umsatzdaten zur Kontenaggregation an BANKSapi übermittelt und anschließend in MANDREO verarbeitet.

Künstliche Intelligenz

Die KI-Funktion ist aktiviert. Ausgewählte Texte und nur die für den jeweiligen Arbeitsauftrag erforderlichen Dokumentinhalte werden an die OpenAI-API über den EU-Endpunkt übertragen. MANDREO fordert keine Speicherung der Antwortdaten an (store=false). Die Nutzung ist technisch an bestätigte EU-Datenresidenz, einen Auftragsverarbeitungsvertrag und bestätigte reduzierte oder ausgeschlossene Missbrauchsprotokollierung gebunden. Ergebnisse werden vor ihrer Verwendung durch einen Menschen geprüft.

8. Empfänger und Drittlandübermittlungen

Daten erhalten nur berechtigte Büroangehörige und die für den jeweiligen Zweck erforderlichen Empfänger, etwa Gerichte, Behörden, Leistungsträger, Banken, Versicherungen, Einrichtungen, behandelnde Stellen oder sonstige Beteiligte. Technische Dienstleister werden – soweit erforderlich – auf Grundlage eines Auftragsverarbeitungsvertrags eingesetzt. Bei einer bewusst gestarteten Adresssuche wird der eingegebene Suchbegriff an den Kartendienst Nominatim der OpenStreetMap Foundation übermittelt. Eine Übermittlung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn sie für eine aktivierte Funktion erforderlich ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

9. Speicherdauer

Daten werden gelöscht, sobald sie für Betreuung, Nachweis, Abrechnung oder gesetzliche Aufbewahrung nicht mehr benötigt werden und keine gesetzlichen oder gerichtlichen Pflichten entgegenstehen. Wegen unterschiedlicher Akten- und steuerlicher Aufbewahrungspflichten gilt keine einheitliche Frist für sämtliche Falldaten. Benutzerzugänge werden bei Wegfall der Berechtigung gesperrt; Sitzungen enden automatisch.

10. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Anfragen sind an den oben genannten Verantwortlichen zu richten.

11. Beschwerderecht

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für Thüringen: Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI).

12. Sicherheit und Aktualisierung

MANDREO verwendet unter anderem HTTPS, sichere Sitzungscookies, rollenbasierte Zugriffsrechte, Zwei-Faktor-Anmeldung, verschlüsselte Geheimnisse und Sicherungen, Firewall-Regeln, Schutz gegen wiederholte Anmeldeversuche sowie Sicherheitsprotokolle. Diese Hinweise werden angepasst, wenn neue Funktionen oder Dienstleister aktiviert werden.