XrayHub übergibt Röntgen- und andere Bilddaten von der Praxis an den Patienten. Die Bilder werden bereits in der Praxis verschlüsselt und erst wieder im Browser des Patienten entschlüsselt. Für uns als Betreiber sind sie zu keinem Zeitpunkt lesbar. Was das für Ihre Daten bedeutet, steht hier.
Verantwortlicher im Sinne der DSGVO für den Betrieb dieser Website und des Patientenportals:
Mann-IT GmbH
Fasanenstr. 12, 96114 Hirschaid
Telefon: 09543 211980
E-Mail: info@mann-it.de
Geschäftsführer: Mario Mann. Weitere Angaben finden Sie im Impressum.
Einen Datenschutzbeauftragten haben wir nicht bestellt; die Voraussetzungen nach Art. 37 DSGVO und § 38 BDSG liegen bei uns nicht vor. Fragen zum Datenschutz beantworten wir unter den oben genannten Kontaktdaten. Ihre Praxis kann davon unabhängig einen eigenen Datenschutzbeauftragten benannt haben.
Für die Bilddaten selbst ist die Praxis oder Klinik verantwortlich, die Ihnen den Zugang ausgehändigt hat. Sie entscheidet, welche Aufnahmen hochgeladen werden und wie lange sie abrufbar bleiben. Die Mann-IT GmbH stellt dieser Einrichtung lediglich die technische Plattform bereit und handelt dabei als Auftragsverarbeiterin nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrages.
Fragen zu Ihren Aufnahmen – etwa zur Herausgabe, Berichtigung oder Löschung – richten Sie deshalb bitte an Ihre Praxis. Wir können und dürfen die Inhalte nicht einsehen.
Der Schlüssel zu Ihren Aufnahmen wird aus Ihrem Zugangscode und Ihrem Geburtsdatum abgeleitet, und zwar in Ihrem Browser. Beides erreicht unseren Server nie. Auf dem Server liegen ausschließlich:
Nicht gespeichert werden: Ihr Name, Ihr Geburtsdatum, Ihr Zugangscode, Befunde oder sonstige Klartextdaten aus den Aufnahmen. Auch der Betreiber kann die Bilder nicht öffnen; es gibt dafür keine Hintertür und keinen Generalschlüssel.
Bei jedem Aufruf fällt technisch Ihre IP-Adresse an. Wir speichern sie nicht im Klartext: für das Protokoll wird ausschließlich ein Prüfwert (HMAC-SHA-256 mit einem serverseitigen Geheimnis) abgelegt. Damit lassen sich wiederholte Fehlversuche derselben Herkunft erkennen, die Adresse selbst aber nicht zurückrechnen.
Protokolliert werden Zeitpunkt, Art des Vorgangs (etwa „Zugang geöffnet“, „Datei geladen“, „fehlgeschlagener Versuch“) und die betroffene Fall-Nummer. Das dient der Sicherheit des Dienstes und der Nachvollziehbarkeit für die Praxis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht im Schutz der hinterlegten Daten vor unbefugtem Zugriff. Die Protokolleinträge zu einem Zugang werden gemeinsam mit diesem Zugang gelöscht.
Nach mehreren Fehlversuchen wird ein Zugang vorübergehend gesperrt. Das schützt Ihre Aufnahmen vor dem Durchprobieren von Codes.
Das Patientenportal setzt ein einziges Cookie, und zwar erst nachdem Sie sich erfolgreich angemeldet haben. Es enthält eine zufällige Sitzungskennung, hält Ihre Sitzung offen, solange Sie die Bilder ansehen, und verfällt nach kurzer Zeit von selbst. Es ist für den Betrieb unbedingt erforderlich und damit nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.
Wir verwenden keine Cookies zu Werbe- oder Analysezwecken, kein Tracking, keine Reichweitenmessung und keine Profilbildung.
Diese Website und das Patientenportal laden ausschließlich Inhalte von unserem eigenen Server. Es werden keine externen Schriftarten, Symbolsätze, Karten, Videos oder Netzwerke Dritter eingebunden, und es findet kein Datenabfluss an Dritte statt. Der Browser erzwingt das zusätzlich über eine strenge Content-Security-Policy.
XrayHub wird auf Servern in Deutschland betrieben, die die Mann-IT GmbH selbst verantwortet. Eine Übermittlung personenbezogener Daten in Drittländer findet nicht statt. Etwaige weitere Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag mit der jeweiligen Praxis benannt.
Jeder Zugang hat von Anfang an einen Löschtermin. Die Frist legt Ihre Praxis fest; ohne abweichende Vereinbarung sind es 90 Tage ab Bereitstellung. Danach löscht der Server die verschlüsselten Dateien und die zugehörigen Angaben selbsttätig und vollständig.
Sie können die Daten außerdem jederzeit selbst entfernen: die Schaltfläche „Daten endgültig löschen“ im Portal löscht sie sofort und unwiderruflich vom Server. Laden Sie die Aufnahmen vorher herunter – danach sind sie dort nicht mehr vorhanden. Auch Ihre Praxis kann einen Zugang jederzeit zurückziehen.
Die Bereitstellung des Zugangs erfolgt im Auftrag Ihrer Praxis und dient der Erfüllung ihrer Pflichten aus dem Behandlungsvertrag, insbesondere Ihres Rechts auf Einsicht in die Patientenakte (§ 630g BGB). Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO, für die Gesundheitsdaten in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO. Für den technischen Betrieb und den Missbrauchsschutz stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO.
Wenn Sie uns per E-Mail oder Telefon erreichen, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Telefonnummer, Inhalt der Anfrage) allein zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald Ihre Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein Kontaktformular gibt es auf dieser Website nicht.
Ihnen stehen hinsichtlich Ihrer personenbezogenen Daten folgende Rechte zu:
Betreffen diese Rechte Ihre Aufnahmen, wenden Sie sich bitte an die Praxis, die Ihnen den Zugang gegeben hat – sie ist dafür verantwortlich. Für alles, was den Betrieb der Plattform selbst betrifft, erreichen Sie uns unter info@mann-it.de, unter Mann-IT GmbH, Fasanenstr. 12, 96114 Hirschaid oder telefonisch unter 09543 211980.
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen Widerspruch einzulegen, die wir auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen – das sind hier das Server-Protokoll und der Missbrauchsschutz (Ziffer 4). Nach einem Widerspruch verarbeiten wir die betroffenen Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Daten dienen der Geltendmachung oder Abwehr von Rechtsansprüchen.
Haben Sie oder Ihre Praxis uns eine Einwilligung erteilt, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Wir werten weder Ihre Aufnahmen noch Ihr Verhalten aus – technisch könnten wir es nicht einmal, denn die Inhalte sind für uns verschlüsselt.
Zugangscode und Geburtsdatum sind weder gesetzlich noch vertraglich vorgeschrieben. Ohne sie lässt sich der Schlüssel zu Ihren Aufnahmen jedoch nicht bilden, und die Bilder bleiben verschlüsselt – auch für uns. Einen Ersatzweg gibt es nicht; in diesem Fall wenden Sie sich bitte an Ihre Praxis.
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für uns zuständig ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de
Stand dieser Datenschutzerklärung: September 2026. Sie ist aktuell gültig. Durch die Weiterentwicklung des Dienstes oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann eine Anpassung notwendig werden. Die jeweils geltende Fassung ist stets unter dieser Adresse abrufbar.