Datenschutz

Stand: 18. Oktober 2026

Verantwortlicher

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO:

Markus Weßeling
Conengasse 1
41569 Rommerskirchen
Deutschland

Anfragen zum Datenschutz

kontakt@mein-gesundpass.de

Zuständige Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf

Hosting

ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf

Technisch notwendige Cookies

Dieses Portal verwendet ein technisch notwendiges Sitzungs-Cookie mit Secure, HttpOnly und SameSite=Strict. Es dient ausschließlich Anmeldung, Sitzungsführung und Sicherheit. Für eine solche unbedingt erforderliche Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Cookie-Einwilligung erforderlich.

Auf freigeschalteten Dienstgeräten wird außerdem ein zufälliges Gerätegeheimnis in einem technisch notwendigen Cookie gespeichert. Es kann bis zu einem Jahr bestehen oder durch Sperrung des Geräts früher entwertet werden; serverseitig liegt nur ein Hash vor.

Was hier verarbeitet wird

• Für ein Konto werden E-Mail-Adresse und Passwort verarbeitet. Die Adresse wird verschlüsselt gespeichert, das Passwort ausschließlich als Argon2id-Hash.
• Die Annahme der Nutzungsbedingungen wird mit Zeitpunkt und Fassung dokumentiert. Diese Vertragsdokumentation beruht auf Art. 6 Abs. 1 lit. b DSGVO und ist keine datenschutzrechtliche Einwilligung nach Art. 7 DSGVO.
• Sitzungen werden nur als Token-Hash gespeichert und laufen automatisch ab. Gerätenamen und Standorte werden bewusst nicht gespeichert.
• Sicherheitsrelevante Ereignisse werden mit minimierten Metadaten protokolliert – ohne Dokumentinhalte.
• Gesundheitsdaten werden durch die Kontoerstellung nicht übertragen.
• Dienstgeräte. Eine Anmeldung gelingt nur auf Geräten, die Ihre Pflegedienstleitung freigeschaltet hat. Dafür wird je Gerät ein zufälliges Geheimnis gespeichert – als Hash, nie im Klartext – sowie der von der Leitung vergebene Name, die Geräteart und der Zeitpunkt der letzten Anmeldung. Ein gesperrtes Gerät verliert den Zugang sofort.
• Arbeitskopien. Von versorgten Personen freigegebene Dokumente liegen verschlüsselt auf dem Server. Das ist keine Ende-zu-Ende-Verschlüsselung: Weil Sie die Inhalte im Browser lesen, kann der Server sie öffnen. Jede Freigabe ist befristet und von der freigebenden Person jederzeit widerrufbar.
• Zugriffsprotokoll. Jeder Abruf einer Arbeitskopie wird mit Zeitpunkt und Namen der abrufenden Person festgehalten. Dieses Protokoll ist auch für die versorgte Person einsehbar – es ist die Grundlage der Zusage, dass jeder Zugriff nachvollziehbar bleibt.
• Schnell-PIN. Sie entsperrt nur eine bereits bestehende Sitzung auf dem Gerät und wird nicht an den Server übertragen.
• Einrichtung und Team. Verarbeitet werden je nach Nutzung Name und Art der Einrichtung, Einrichtungskennung, Kontaktdaten, Logo, Mitteilungen, Teamzuordnungen, berufliche Rolle, Profilkennung, Berechtigungen sowie Dienstplandaten. Die Leitung kann Teamzugänge verwalten. Ein öffentliches Fachprofil erscheint nur bei aktivierter Sichtbarkeit. Rechtsgrundlage für Bereitstellung und Absicherung ist Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO; die konkrete Rollenverteilung mit der Einrichtung ist vertraglich zu klären.
• Optionale KI-Funktionen. Bei bewusster Auslösung können Beschreibungen für Pflegeberichte, SIS-Fachchecks und Pflegegrad-Fallchecks an die OpenAI-API übermittelt werden. Beim Pflegegrad-Fallcheck können ausgewählte Dokumenttexte und Bilder dazugehören. Die Daten können Gesundheitsinformationen über Dritte enthalten. Geben Sie keine direkten Identifikationsdaten ein; eine technische Bereinigung ist je nach Funktion unterschiedlich und schließt Rückschlüsse auf Personen nicht sicher aus. Die Ergebnisse sind fachlich zu prüfen und ersetzen keine eigene Entscheidung. Die Anfragen setzen store: false, doch Sicherheits- und Missbrauchsprotokolle des Anbieters können Inhalte zeitlich begrenzt enthalten. Die erforderlichen Rechtsgrundlagen, insbesondere nach Art. 9 Abs. 2 DSGVO für Gesundheitsdaten, Verträge und mögliche Drittlandübermittlungen müssen vor produktiver Nutzung geklärt sein.

Support- und Verwaltungszugriffe

Berechtigte Support- und Administrationskonten können erforderliche Konten- und Organisationsdaten zur Bearbeitung von Anfragen und zur Sicherheit einsehen. Verwaltungsaktionen werden protokolliert. Die Freigabe neuer privater und beruflicher Selbstregistrierungen wird getrennt verwaltet; eine Änderung dieser Freigabe verändert bestehende Konten nicht.

Anmeldung und zusätzlicher Schutz

Soweit Passkeys angeboten werden, speichert GesundPass nur die technische Kennung, den öffentlichen Schlüssel, einen Sicherheitszähler und Nutzungszeitpunkte. Biometrische Merkmale und der private Schlüssel verbleiben beim Gerät beziehungsweise Passkey-Anbieter. Eine Schnell-PIN entsperrt ausschließlich eine bereits bestehende Sitzung auf dem Gerät.

Eine Anmeldung über Google oder Apple ist derzeit nicht aktiviert. Auch Einmalcodes per E-Mail oder SMS sind derzeit nicht eingerichtet; hierfür wird keine Mobilfunknummer erhoben. Vor einer späteren Aktivierung werden die Datenschutzhinweise um den jeweiligen Anbieter, Datenarten, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und mögliche Drittlandübermittlungen ergänzt.

Ihre Rechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zu (Art. 15 bis 21 DSGVO), ebenso das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Betroffenenrechte und die Löschung eines beruflichen Zugangs können über den Verantwortlichen bzw. die zuständige Pflegedienstleitung geltend gemacht werden.

Ausführliche Fassung: mein-gesundpass.de/datenschutz.html