Datenschutzerklärung für das Mit-Care Portal
Diese Datenschutzerklärung gilt für das Mit-Care Portal (portal.mit-care.de; die frühere Adresse mitcare-portal.vercel.app leitet dorthin weiter) und beschreibt, welche personenbezogenen Daten dort verarbeitet werden, zu welchem Zweck und welche Rechte Sie haben. Sie ergänzt die Datenschutzerklärung der Webseite www.mit-care.de.
1. Verantwortlicher
Mit-Care GmbH, Teplitzer Straße 28–30, 14193 Berlin Telefon 030 23520035, E-Mail info@mit-care.de Vertreten durch den Geschäftsführer Leo Knezic
Für Fragen zum Datenschutz erreichen Sie uns unter info@mit-care.de, Stichwort „Datenschutz Portal“. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG nicht zu benennen.
2. Was das Portal ist
Das Mit-Care Portal ist ein geschlossener Dienst für Kunden der Mit-Care GmbH. Es dient der Verwaltung von Medizinprodukten und elektrischen Betriebsmitteln, der Überwachung von Prüffristen (STK, MTK, DGUV Vorschrift 3), der Bereitstellung von Prüfprotokollen und der Dokumentation nach der Medizinprodukte-Betreiberverordnung (MPBetreibV). Zugang erhalten ausschließlich von Mit-Care eingeladene Personen bei unseren Kunden.
Im Portal werden keine Patientendaten verarbeitet. Das Portal ist dafür weder vorgesehen noch zugelassen; unsere Kunden verpflichten sich in der Nutzungsvereinbarung, keine Patientendaten einzugeben oder hochzuladen.
3. Welche Daten wir verarbeiten
a) Zugangsdaten der Portalnutzer. Name, geschäftliche E-Mail-Adresse, Funktion in der Einrichtung, Passwort (nur als kryptografischer Hash gespeichert), Zeitpunkt der Einladung, des ersten Logins und der Zustimmung zu den Portalbedingungen, Anmeldezeitpunkte.
b) Daten der Kundeneinrichtung. Name und Anschrift der Einrichtung, Standorte und Räume, Gerätebestand (Typ, Hersteller, Seriennummer, Inventarnummer, Anschaffungsdatum, Standort), Prüffristen, Prüfprotokolle, Mängel, Aufträge, Dokumente, die der Kunde oder Mit-Care hochlädt.
c) Daten zu Ansprechpartnern und Verantwortlichen beim Kunden. Name, Funktion, geschäftliche Telefonnummer und E-Mail-Adresse, Rolle (z. B. Geräteverantwortlicher, Beauftragter für Medizinproduktesicherheit nach § 6 MPBetreibV).
d) Einweisungsnachweise. Name und Funktion der eingewiesenen Person, einweisende Person, Datum, Gerät, Art der Einweisung, optional ein hochgeladener Nachweis (PDF oder Foto) – zur Dokumentation nach § 10 MPBetreibV.
e) Technische Daten. IP-Adresse, Zeitpunkt, aufgerufene Seite, Browsertyp – in Server-Protokollen der Hosting-Anbieter (siehe Ziffer 6), um den Betrieb abzusichern und Störungen zu erkennen.
f) Änderungsprotokoll. Wer wann welche Daten im Portal geändert hat (Nutzerkonto, Zeitpunkt, geänderte Felder). Das Protokoll dient der Nachvollziehbarkeit gegenüber Behörden und Prüfern.
4. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung des Portals für den Kunden, Verwaltung von Geräten, Fristen und Protokollen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Kunden) und Art. 28 DSGVO (Auftragsverarbeitung, Ziffer 5) |
| Nutzerkonten, Login, Sicherheit, Änderungsprotokoll | Art. 6 Abs. 1 lit. b und f DSGVO (berechtigtes Interesse an einem sicheren, nachvollziehbaren Betrieb) |
| Aufbewahrung von Prüfdokumentation | Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 7, § 12, § 13 MPBetreibV und § 14 DGUV Vorschrift 3 |
| Erinnerungen an fällige Prüfungen per E-Mail | Art. 6 Abs. 1 lit. b DSGVO (vereinbarte Portalleistung) |
| Server-Protokolle | Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit) |
5. Wer für welche Daten verantwortlich ist
Für die Daten unter Ziffer 3 a), e) und f) ist die Mit-Care GmbH Verantwortliche im Sinne der DSGVO.
Für die Daten unter Ziffer 3 b), c) und d) – also Daten, die der Kunde über seine Einrichtung, seine Mitarbeiter und seine Geräte in das Portal einbringt oder einbringen lässt – ist der Kunde Verantwortlicher; die Mit-Care GmbH verarbeitet diese Daten in seinem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO (EU-Standardvertragsklauseln, Durchführungsbeschluss (EU) 2021/915). Wenn Sie Mitarbeiter einer Kundeneinrichtung sind und Fragen zu Ihren Daten haben, wenden Sie sich bitte zunächst an Ihre Einrichtung.
6. Empfänger und Auftragsverarbeiter
Wir setzen folgende Dienstleister ein, die Daten ausschließlich nach unserer Weisung verarbeiten:
| Dienstleister | Zweck | Ort der Verarbeitung |
|---|---|---|
| Supabase Inc. (Supabase B.V.), Projekt in der Region eu-central-1 | Datenbank, Nutzer-Anmeldung, Dateispeicher für Protokolle und Dokumente | Frankfurt am Main, Deutschland |
| Vercel Inc. | Bereitstellung der Portal-Anwendung (Hosting), Serverfunktionen in der Region fra1 | Frankfurt am Main, Deutschland; Vercel Inc. hat ihren Sitz in den USA, Übermittlungen sind durch das EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln abgesichert |
| Strato GmbH | E-Mail-Postfach, über das Einladungen und Erinnerungen versendet werden | Deutschland |
| GitHub, Inc. (Microsoft-Konzern) | Verschlüsselte nächtliche Datensicherung (Datenbank und Dateien). Die Sicherung wird vor der Übertragung bei uns mit dem Verfahren age verschlüsselt; den Schlüssel hat nur Mit-Care – GitHub kann die Inhalte nicht lesen | USA; Übermittlungen sind durch das EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln abgesichert |
Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung. Eine Weitergabe an andere Dritte erfolgt nicht, außer wenn wir gesetzlich dazu verpflichtet sind.
7. Cookies und lokale Speicherung
Das Portal verwendet ausschließlich technisch notwendige Cookies, um Sie nach dem Login angemeldet zu halten (Sitzungs-Cookies). Zusätzlich speichert das Portal im Browser kleine Hilfsdaten, zum Beispiel einen nicht abgeschickten Notizentwurf oder die zuletzt gewählte Ansicht. Es gibt keine Analyse-, Tracking- oder Werbe-Cookies und keine Einbindung von Drittanbietern wie Google Analytics oder sozialen Netzwerken. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
8. Speicherdauer
- Prüfprotokolle, Gerätedaten und Einweisungsnachweise bewahren wir bis zehn Jahre nach Außerbetriebnahme des jeweiligen Geräts auf. Das übersteigt die gesetzliche Mindestfrist von fünf Jahren (§ 13 MPBetreibV) bewusst, damit die Dokumentation über die gesamte Nutzungsdauer und typische Nachfragezeiträume verfügbar bleibt. Der Kunde kann jederzeit eine frühere Löschung verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Nutzerkonten löschen wir spätestens 90 Tage nach Ende der Portalnutzung oder auf Wunsch des Kunden.
- Server-Protokolle werden von den Hosting-Anbietern nach kurzer Zeit (in der Regel 30 Tage) automatisch gelöscht.
- Das Änderungsprotokoll wird zusammen mit den Daten gelöscht, auf die es sich bezieht.
Bei Ende der Portalnutzung stellen wir dem Kunden auf Wunsch alle seine Daten als Export (Tabellen und Dateien) zur Verfügung, bevor sie gelöscht werden.
9. Ihre Rechte
Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an info@mit-care.de. Betrifft Ihr Anliegen Daten, für die Ihre Einrichtung verantwortlich ist (Ziffer 5), leiten wir es dorthin weiter oder unterstützen Ihre Einrichtung bei der Beantwortung.
Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für uns ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, www.datenschutz-berlin.de.
10. Datensicherheit
Alle Verbindungen zum Portal sind verschlüsselt (TLS). Die Daten liegen verschlüsselt in Rechenzentren in Frankfurt am Main. Jeder Kunde sieht ausschließlich seine eigenen Daten; die Trennung ist auf Datenbankebene erzwungen (Row Level Security) und wird automatisiert getestet. Hochgeladene Dateien sind nur über kurzlebige, personalisierte Links abrufbar. Freigeschaltete Prüfprotokolle sind unveränderlich; Korrekturen erfolgen durch eine neue Version mit sichtbarer Historie. Datenbank und Dateien werden jede Nacht gesichert; die Sicherungen werden vor dem Speichern verschlüsselt (Schlüssel nur bei Mit-Care), 90 Tage aufbewahrt und die Wiederherstellung wird regelmäßig geprobt. Interne Zugänge von Mit-Care sind zusätzlich mit einer Zwei-Faktor-Anmeldung geschützt.
11. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich das Portal oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist im Portal unter „Datenschutz“ abrufbar; wesentliche Änderungen zeigen wir beim nächsten Login an.
Änderungen in Version 1.1 (redaktionell): neue Adresse des Portals. Änderungen in Version 2.0: GitHub, Inc. als Dienstleister für die verschlüsselte Datensicherung (Ziffer 6); Datensicherung und Zwei-Faktor-Anmeldung beschrieben (Ziffer 10).
Stand: Oktober 2026, Version 2.0